Восемь вредоносных пакетов npm скачаны 40 767 раз: доставка Overlord RAT и стилера
Исследователи в области кибербезопасности раскрыли детали длительной вредоносной кампании в цепочке поставок npm, в рамках которой на скомпрометированные хосты доставляются инфостилеры и трояны удалённого доступа (RAT). Кампания получила кодовое имя MALFEX, а её автором, по оценкам специалистов, является одиночный злоумышленник, публиковавший пакеты с августа 2023 года.
Подробности
Согласно данным исследователей, с августа 2023 года злоумышленник опубликовал 12 пакетов, восемь из которых оказались вредоносными. Совокупное число загрузок этих восьми пакетов достигло 40 767 раз, что свидетельствует о широком охвате потенциальных жертв — от отдельных разработчиков до организаций, использующих затронутые зависимости в своих проектах. Кампания классифицируется как атака на цепочку поставок (supply chain attack): вредоносный код распространяется через легитимный репозиторий npm, что позволяет злоумышленнику доставлять полезную нагрузку в доверенной среде разработки. Основными видами полезной нагрузки являются инфостилеры, предназначенные для кражи учётных данных и другой чувствительной информации, а также троян удалённого доступа Overlord RAT, обеспечивающий удалённое управление скомпрометированным хостом. Длительный период активности — с августа 2023 года — указывает на то, что кампания оставалась незамеченной в течение продолжительного времени, а её автор, вероятно, действовал целенаправленно и методично, публикуя пакеты поэтапно. Тот факт, что из 12 пакетов вредоносными оказались восемь, говорит о продуманном подходе: часть публикаций могла использоваться для маскировки или проверки реакции сообщества.Что делать
Специалисты рекомендуют организациям и разработчикам принять следующие меры: — Провести аудит зависимостей и убедиться, что в проектах не используются пакеты, связанные с кампанией MALFEX. Для этого следует сверяться с перечнями, публикуемыми CloudSEK и Checkmarx. — Использовать инструменты анализа состава программного обеспечения (SBOM) и сканеры зависимостей для выявления подозрительных пакетов. — Ограничить возможность установки пакетов из непроверенных источников, применять политики доверенных реестров и проверку подписей. — Регулярно обновлять средства защиты конечных точек и мониторить хосты на предмет признаков активности Overlord RAT и инфостилеров. — Провести проверку учётных данных и секретов, которые могли быть скомпрометированы в случае заражения, и при необходимости выполнить их ротацию. Итог: инцидент MALFEX в очередной раз демонстрирует, что атаки на цепочку поставок через публичные репозитории пакетов остаются серьёзной и трудно обнаруживаемой угрозой. Своевременный аудит зависимостей и контроль источников пакетов — ключевые меры защиты от подобных кампаний.Источник: The Hacker News