Alerte Npm: 800 paquets malveillants qui sont activés avec les exigences et livrent un compte-gouttes avec multi-plateforme RAT

Une grande opération de paquets malveillants a inondé l'enregistrement npm: environ 800 modules - publiés sous des noms qui semblent être générés au hasard ou de type-squatting - contiennent un chargeur qui conduit à un trojan distant (RAT) et un infostealer multiplateforme. Les chercheurs ont confirmé que la chaîne d'infection n'est pas basée sur des crochets d'installation (pré-installation / post-installation) mais sur des instructions pour le développeur d'invoquer () de son code, qui active un téléchargement appelé WEL1DROPPER.

Comment fonctionne la campagne techniquement: le paquet malveillant introduit du code qui, une fois importé avec requis (), exécute un compte-gouttes qui détecte le système d'exploitation CPU et l'architecture. Le dropper tente de télécharger l'étape suivante à partir de trois travailleurs Cloudflare (domaines observés par les chercheurs). Si le téléchargement HTTPS échoue, l'échantillon utilise un mécanisme alternatif basé sur les enregistrements DNS TXT pointant vers un domaine d'infrastructure (wel1 [.] ru). Dans ce flux, la goutteuse demande d'abord un enregistrement TXT qui indique le nombre de fragments de chargement, demande ces fragments numérotés, concède les chaînes reçues et les décodifie de Base64 pour reconstruire le binaire, qui est ensuite écrit dans un dossier temporaire et fonctionne avec / bin / sh dans Linux / macOS ou cmd.exe dans Windows.

Dans l'étape finale, selon Sonatype et d'autres analyses, malware développe ses propres comportements de menaces persistantes: l'échantillon de correctifs Windows ETW et AMSI pour échapper à la détection, vérifier les environnements d'analyse / bac à sable, définir la persistance (clé Run et tâche programmée), télécharger une charge utile chiffrée et l'exécuter; macOS suit une chaîne similaire avec LaunchAgent; Linux télécharger un ELF compressé avec UPX qui finit par déployer Sliver, un framework C2 open source. Les mêmes publications soulignent également que de nombreux paquets incluent un fichier "lib / telemetry.js" - un SDK télémétrique apparent - contenant le même téléchargement mais non importé par l'entrée, suggérant l'intention de camoufler le but malveillant lors d'un examen superficiel.

Faits confirmés: l'existence de centaines de paquets npm malveillants avec le modèle décrit, les domaines Cloudflare Workers impliqués, l'utilisation de wel1 [.] ru pour la livraison par DNS TXT, la technique de reconstruction des fragments Base64 et la détection de Sliver dans la chaîne Linux. Les sources publiques qui couvrent l'opération et expliquent des techniques similaires comprennent la recherche sur l'intervention et l'analyse du public ( Couverture de l ' ordinateur) et documentation de la plateforme utilisée comme infrastructure (Cloudflare Workers: documentation officielle).

Estimations et incertitudes: certains indicateurs trouvés dans les binaires macOS font référence à des domaines avec des noms de services financiers russes, de sorte que les analystes croient que l'acteur pourrait s'intéresser aux objectifs du secteur financier russe; il s'agit d'une inférence basée sur des artefacts internes, pas une déclaration de l'agresseur ou la preuve d'objectifs spécifiques. Il a également été dit que la campagne pourrait être une évolution d'une autre opération appelée "Moika" observée plus tôt, mais la relation entre les campagnes est une hypothèse raisonnable basée sur la tactique et les objectifs, et non une certitude prouvée.

Qui cela affecte - t - il? Les développeurs et les projets qui importent des paquets npm sans Vets stricts, les environnements CI / CD qui exécutent le code d'unité de pipeline, et les équipements d'exploitation qui ne filtrent pas vers l'infrastructure externe sont exposés. En outre, tout poste de travail ou serveur où un développeur nécessite un paquet compromis (localement ou dans un bâtiment automatisé) peut finir par exécuter le compte-gouttes et recevoir la charge malveillante. Les organisations ayant des dépôts publics ou privés qui permettent des paquets tiers non vérifiés sont à risque élevé.

Conséquences réelles : la campagne permet l'exfiltration des identifiants et de l'environnement (selon l'analyse précédente de campagnes similaires), l'exécution à distance et la persistance de l'attaquant sur les machines Windows, macOS et Linux, et l'incorporation possible d'équipement dans un botnet ou une infrastructure C2 (Sliver) qui facilite les mouvements latéraux et le vol de données. Pour les équipes de développement, cela comporte également le risque de compromettre les secrets et les références utilisés sur CI / CD, les déploiements et les dépôts.

Mesures spécifiques et urgentes à prendre par les lecteurs et les équipements techniques:

1) Ne pas exiger () des colis inconnus ou des noms suspects. Si un nouveau paquet doit être évalué, examinez-le localement dans un environnement isolé ou un bac à sable et ne l'importez pas directement dans les pipelines de production.

2) Mettre en œuvre les politiques licencies/difficiles dans les gestionnaires de dépôts et de paquets. Utiliser des contrôles dans l'organisation npm, un proxy d'enregistrement interne (p. ex. Nexus, Artifactory) ou le blocage de noms pour empêcher le téléchargement de paquets externes directement dans des environnements de construction.

3) Protéger les pipelines CI / CD et éviter l'exécution du code unitaire sans révision. Ne pas exécuter des scripts ou des processus tiers par étapes qui ont accès aux secrets; permettre la séparation des identifiants et des variables d'environnement, et appliquer le principe de privilège mineur.

4) Appliquer l'analyse unitaire et l'analyse statique / dynamique. Intégrez des outils tels que les solutions Snyk, Dependabot ou SCA (Software Composition Analysis) pour détecter des paquets malveillants ou inhabituels; complémentez avec EDR / antivirus capable de détecter des pièges tels que la manipulation ETW / AMSI et opussed binaire / UPX.

5) Restreindre le trafic de sortie et bloquer les domaines suspects / infrastructure. Filtrer l'évacuation avec proxy / pare-feu pour éviter les téléchargements de Cloudflare Workers / domaines externes non autorisés et bloquer les communications vers wel1 [.] ru pour enquêter. Enregistrer et examiner les connexions sortantes des systèmes de compilation et des stations de développement.

(6) Examiner la persistance et les artefacts dans les paramètres. Dans Windows, recherchez les clés Exécutez, les tâches programmées récentes et les processus enfants inhabituels; dans macOS list LaunchAgens / Daemons; dans Linux, examinez les binaires temporaires, les chronotabs et les processus qui parlent avec des infrastructures externes. Utiliser des outils médico-légaux pour détecter le Sliver actif ou le C2.

7) Rotation des références et des secrets exposés. Si un projet ou un pipeline a utilisé des paquets compromis, faire tourner immédiatement les clés, les jetons et les certificats qui auraient pu être accessibles et vérifier les journaux d'accès pour des activités inhabituelles.

Enfin, il est essentiel d'adopter une pratique soutenue de minimisation des unités, d'examen manuel des paquets critiques et de ségrégation entre les environnements de développement et de production. Des campagnes comme celle-ci exploitent la confiance implicite dans les écosystèmes ouverts : les atténuer nécessite des contrôles techniques et des changements de processus dans la gestion des unités. Pour ceux qui ont besoin d'une vision technique plus large des paquets malveillants dans les dossiers publics, la recherche des équipes d'intervention et des blogs techniques continue de mettre à jour les COI et les recommandations opérationnelles ( Unité 42 des réseaux Palo Alto et d ' autres sources spécialisées).