Hampir 800 Paket npm Berbahaya Mengirimkan RANT Lintas Platform yang Menargetkan Windows, Mac, dan Linux
Sebuah kampanye paket berbahaya skala besar telah terungkap di registri npm, dengan hampir 800 paket yang dirancang untuk mengirimkan trojan akses jarak jauh lintas platform dan pencuri informasi ke sistem pengembang.
- Hampir 800 paket npm berbahaya menggunakan instruksi README untuk menipu pengembang agar menjalankan malware
- Malware bernama WEL1DROPPER mengambil payload khusus OS dari server Cloudflare Workers
- Varian macOS memeriksa debugger dan alat analisis sebelum mengunduh payload
- Beberapa domain mengarah ke institusi keuangan Rusia sebagai target potensial
Serangan tidak konvensional: menggunakan README sebagai mekanisme pengiriman
Berbeda dengan serangan rantai pasok npm biasa yang menggunakan hook siklus hidup seperti preinstall atau postinstall untuk mengeksekusi kode berbahaya secara otomatis, kampanye ini mengambil pendekatan berbeda. Menurut peneliti OpenSourceMalware Paul McCarty, paket-paket tersebut menyertakan file README yang secara langsung menginstruksikan pengembang untuk memuat dan mengeksekusi modul berbahaya, melewati mekanisme pemindaian keamanan konvensional.
Nama paket menggunakan string typo-squatted yang dihasilkan AI atau acak yang dirancang untuk meniru nama paket populer dan menyesatkan pengembang.
WEL1DROPPER: arsitektur serangan berlapis
Setelah pengembang mengikuti instruksi README dan mengeksekusi kode berbahaya, sebuah downloader bernama WEL1DROPPER akan aktif. Program pertama-tama mengidentifikasi sistem operasi host dan arsitektur prosesor, kemudian mengambil payload yang kompatibel dari salah satu dari tiga server Cloudflare Workers.
Jika pengunduhan HTTPS gagal, malware beralih ke mekanisme fallback, menggunakan catatan DNS TXT untuk mengambil payload tahap berikutnya dalam potongan dari domain tertentu (wel1[.]ru). McCarty menjelaskan bahwa malware pertama-tama meminta catatan TXT untuk mendapatkan jumlah potongan, yang bisa berkisar dari 1 hingga 2.000, kemudian mengambil setiap potongan secara berurutan dan menyusunnya kembali menjadi payload akhir.
macOS dan Linux juga menjadi sasaran
Menurut analisis perusahaan keamanan siber Sonatype, rantai infeksi macOS mencerminkan versi Windows, memeriksa debugger dan artefak analisis sebelum mengunduh payload dari server jarak jauh. Jika pengunduhan utama gagal, ia menggunakan fallback catatan DNS TXT yang sama.
Sampel Linux adalah biner ELF yang dikemas UPX yang pada akhirnya mengirimkan Sliver, kerangka kerja komando-dan-kontrol sumber terbuka yang sering digunakan oleh penyerang sebagai alat pasca-eksploitasi.
Target dan asal-usul
Para peneliti mengidentifikasi domain terkait Rusia seperti tcsbank[.]ru dan cloudpayments[.]ru dalam payload macOS, menunjukkan bahwa kampanye ini mungkin menargetkan institusi keuangan dan sistem pembayaran seluler Rusia. Operasi ini juga diduga merupakan evolusi dari kampanye kebingungan dependensi bernama kode Moika, yang diamati sebelumnya pada bulan April, yang melihat lebih dari 250 paket diterbitkan ke npm.
Unit 42 Palo Alto Networks secara bersamaan telah mendokumentasikan beberapa kampanye yang menargetkan baik npm maupun Python Package Index, menegaskan ancaman keamanan yang semakin meningkat yang dihadapi oleh ekosistem paket sumber terbuka.
Sumber: The Hacker News
