Npm

Badacze bezpieczeństwa odkryli kampanię siedmiu złośliwych pakietów npm skierowanych przeciwko ekosystemowi narzędzi frontendowych Vite, będącą częścią ataku na łańcuch dostaw oprogramowania. Kampania, nazwana ViteVenom, wykorzystuje wielopoziomową infrastrukturę dowodzenia i kontroli (C2) opartą na blockchainie (Tron, Aptos, Binance Smart Chain) do dostarczania trojana zdalnego dostępu (RAT), zdolnego do przejmowania danych uwierzytelniających, eksfiltracji plików i wstrzykiwania backdoora. Złośliwy kod nie wykonuje się podczas instalacji, lecz przy imporcie, co utrudnia wykrywanie przez systemy bezpieczeństwa, pobierając kolejne etapy z blockchaina, co czyni infrastrukturę niemal niemożliwą do zniszczenia.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Cztery zainfekowane pakiety npm z przestrzeni nazw @asyncapi zostały wykorzystane do dystrybucji wieloetapowego ładowacza botnetu, co wykazały analizy niezależnych firm bezpieczeństwa. Złośliwy kod uruchamia się po załadowaniu zainfekowanego modułu przez Node.js, po czym pobiera i wykonuje dalsze etapy malware z sieci IPFS, a ostatecznie ładuje framework Miasma, który umożliwia kradzież danych, rozprzestrzenianie się i utrzymywanie obecności w systemie.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Kampania 148 pakietów npm, udających proxy studenckie, przekształciła przeglądarki odwiedzających w rozproszony botnet DDoS na około dwa tygodnie w maju. Złośliwe pakiety, takie jak charlie-kirk czy ilovefemboys, działały jako proxy, pozwalając studentom na omijanie filtrów szkolnych, jednocześnie ładowały ukryty moduł zdalnego ładowania kodu i generator powodzi WebSocket, zamieniając przeglądarki w uczestników ataku.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Wersja 8.14.0 popularnego pakietu npm jscrambler zawierała złośliwy hook preinstalacyjny, który bez wiedzy użytkownika pobierał i uruchamiał natywnego stealer’a danych, stworzonego dla Windows, macOS i Linux. Payload działał tuż przed instalacją pakietu, celując w cenne dane programistów, takie jak klucze chmurowe, portfele kryptowalut, hasła czy klucze API narzędzi AI, co stanowiło poważne zagrożenie dla łańcucha dostaw oprogramowania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Nieznani sprawcy skompromitowali repozytorium GitHub projektu Injective Labs SDK, wykorzystując je do publikacji złośliwego pakietu w rejestrze npm, który kradł prywatne klucze do portfeli kryptowalutowych i frazy mnemoniczne. Złośliwa wersja, @injectivelabs/[email protected], zawierała fałszywą funkcję telemetrii, która eksfiltrowała dane, a także rozprzestrzeniła się na inne powiązane pakiety, narażając użytkowników. Malware, ukrywając się przed wykryciem, modyfikował funkcje generowania kluczy pod pozorem zbierania danych telemetrycznych, wysyłając poufne informacje na zdalny serwer, co wymaga od użytkowników natychmiastowej aktualizacji i rotacji kluczy.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Grupa hakerów powiązana z Koreą Północną prowadzi aktywną kampanię PolinRider, publikując 108 unikalnych złośliwych pakietów i rozszerzeń w repozytoriach npm, Packagist, Go oraz jako rozszerzenie przeglądarki Chrome. Kampania ta wykorzystuje metody inżynierii społecznej, podając się za rekruterów, aby skłonić ofiary, głównie deweloperów i osoby z branży kryptowalut, do uruchomienia złośliwego kodu, który następnie modyfikuje ich pliki konfiguracyjne i ukrywa działania poprzez manipulację historią Git.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Aktorzy zagrożeń z Korei Północnej stoją za nowymi złośliwymi pakietami npm podszywającymi się pod narzędzia Rollup Polyfill, mającymi na celu ułatwienie zdalnego dostępu i kradzieży danych deweloperów. Pakiety te, imitując legalne projekty Rollup, wykorzystują warstwową strukturę ataku, ukryte wykonywanie kodu podczas instalacji i mechanizmy sprawdzające środowisko, aby wykraść poufne informacje, takie jak klucze API, dane przeglądarki i tajne dane projektów.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto złośliwe pakiety npm i Go zawierające narzędzie do kradzieży danych napisane w Pythonie, które infekuje systemy Windows, Linux i macOS. Atak ten omija typowe ścieżki wykonania npm, ukrywając kod w zadaniach VS Code uruchamianych automatycznie po otwarciu projektu, co pozwala na kradzież danych uwierzytelniających, kryptowalut i zapewnienie trwałego dostępu do zainfekowanych systemów.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze bezpieczeństwa zidentyfikowali nowe zagrożenie typu supply chain attack, które ewoluowało z rodzin malware Mini Shai-Hulud, Miasma i Hades, skutecznie infekując kolejne pakiety npm oraz rozprzestrzeniając się do ekosystemu Go, zagrażając projektom takim jak Verana Blockchain. Atak polega na kradzieży danych uwierzytelniających programistów i wykorzystaniu ich do rozpowszechniania złośliwego oprogramowania, obejmując m.in. zatruwanie rejestru npm, wykonywanie kodu podczas instalacji, kradzież sekretów z GitHub Actions oraz przejmowanie danych z asystentów kodowania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto złośliwe pakiety npm, które podszywają się pod narzędzia PostCSS, mające na celu dostarczenie trojana zdalnego dostępu (RAT) dla systemu Windows. Pakiety te, w tym “aes-decode-runner-pro” i “postcss-minify-selector-parser”, wykorzystują zaufanie do popularnych bibliotek do zainfekowania systemu, pobierając i uruchamiając złośliwy skrypt Visual Basic, który instaluje RAT zdolny do kradzieży danych, wykonywania poleceń i komunikacji z serwerem C2.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)