📰 Informação fresquinha chegando para você!
Sua opinião é importante: leia e participe!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Versões beta de dois pacotes npm no namespace @joyfill foram comprometidas para entregar um trojan de acesso remoto (RAT) associado à famÃlia de malware DEV#POPPER.
A lista de pacotes afetados é a seguinte –
@joyfill/layouts@0.1.2-2773.beta.0
@joyfill/components@4.0.0-rc24-2773-beta.4
Os dois pacotes “contêm um implante JavaScript no momento da importação que resolve código criptografado por meio de transações Tron, Aptos e BNB Smart Chain”, disse Socket em uma análise.
Ao contrário de outros pacotes maliciosos que são acionados por meio de um gancho de ciclo de vida npm, o implante entregue como parte das bibliotecas JavaScript é executado quando o Node.js carrega o ponto de entrada do pacote CommonJS.
É importante notar que o uso de uma estrutura de resolução multi-blockchain composta por Tron, Aptos e BNB Smart Chain (BSC) foi vinculado a um cluster de ameaças rastreado como PolinRider, que é avaliado como relacionado à Entrevista Contagiosa.
No inÃcio deste mês, Checkmarx e OpenSourceMalware destacaram um conjunto de pacotes npm maliciosos chamados coletivamente de ViteVenom, direcionados ao ecossistema de ferramentas de front-end Vite usando a mesma infraestrutura de comando e controle (C2) baseada em blockchain para fornecer um RAT com shell reverso, coleta de credenciais, exfiltração de arquivos e recursos persistentes de injeção de backdoor.
O implante consiste em duas sequências paralelas de ações -
Uma ramificação em processo que leva a uma carga JavaScript recuperada de 77 KB com semelhanças com a famÃlia de malware DEV#POPPER
Uma ramificação secundária que inicia um processo Node.js desanexado, solicita uma carga útil de inicialização separada de 23.27.13[.]43, descriptografa a resposta e a avalia
Depois que o pacote é carregado, ele inicia um despacho baseado em blockchain que obtém um hash de transação BSC da última transação de saÃda de um endereço Tron codificado. Se esta etapa falhar, ele consulta uma conta Aptos como substituto para buscar a transação BSC e, a partir dela, descriptografar e extrair o código JavaScript e executá-lo.
Tanto as filiais em processo quanto as desvinculadas usam um conjunto distinto de endereços de carteira, contas e transações para Tron, Aptos e BSC. O uso do blockchain também significa que ele oferece resiliência operacional e possibilita a troca de cargas úteis sem a necessidade de publicar uma nova versão dos pacotes.
A primeira carga útil em processo é um carregador JavaScript que emprega o método de resolução blockchain para recuperar um malware de segundo estágio chamado “clientCode”. O processo desanexado, por outro lado, consulta o referido endereço IP para obter e executar o código JavaScript.
“Este é um ramo de entrega redundante, não um substituto inofensivo”, explicou Socket. "Ele é desanexado do processo de importação do Node.js e pode continuar após a saÃda de um comando de compilação, teste ou CLI."
A carga útil final "clientCode" é fortemente ofuscada e funciona como um RAT Node.js com os seguintes recursos, evitando a execução em desenvolvimento, CI ou máquinas em sandbox com os nomes de host github-runner, buildbot, buildkitsandbox e microsoft-standard-WSL2 -
Carregar arquivos para o host de upload configurado
Recuperar JavaScript adicional
Colete detalhes básicos do host
Enviar mensagens de verificação de status
Leia os dados da área de transferência por meio do PowerShell no Windows, pbpaste no macOS e xclip ou xsel no Linux
Duas cargas foram associadas ao processo desanexado: o RAT “clientCode” e um infostealer Python que pode coletar uma ampla gama de dados de hosts comprometidos. É avaliado como uma iteração do malware OmniStealer, cujos detalhes foram destacados pela primeira vez pela eSentire no inÃcio de abril.
Os dados coletados pelo malware estão abaixo -
Informações sobre ambiente e host
Dados do Windows Credential Manager e do Linux Secret Service
Dados do navegador Chromium e Firefox
Armazenamento de extensões de navegador para carteiras e gerenciadores de senhas
Credenciais Git
Configuração da CLI do GitHub
Registros do GitHub Desktop
Armazenamento de código do Microsoft Visual Studio
Socket disse ao The Hacker News que tanto o ViteVenom quanto a última coleção de pacotes npm estão conectados à mesma operação contÃnua por atores de ameaças norte-coreanos, em vez de representarem campanhas separadas.
De acordo com a empresa de segurança de aplicativos, ambas as versões maliciosas foram publicadas pela mesma identidade npm usando Node.js 18.20.0 e npm 10.5.0, com o código presente no momento do pacote. Dito isto, atualmente não está claro se essa injeção de código-fonte foi alcançada após o comprometimento de uma estação de trabalho do desenvolvedor, repositório de origem, ambiente de CI ou credenciais de publicação.
Os desenvolvedores que instalaram as versões afetadas são aconselhados a removê-las de arquivos de bloqueio, caches, espelhos internos, imagens de construção e artefatos de implantação, fixar em uma versão verificada e alternar as credenciais do processo Node.js afetado.
"A versão @joyfill/layouts deve ser tratada como capaz de código arbitrário ex.
A lista de pacotes afetados é a seguinte –
@joyfill/layouts@0.1.2-2773.beta.0
@joyfill/components@4.0.0-rc24-2773-beta.4
Os dois pacotes “contêm um implante JavaScript no momento da importação que resolve código criptografado por meio de transações Tron, Aptos e BNB Smart Chain”, disse Socket em uma análise.
Ao contrário de outros pacotes maliciosos que são acionados por meio de um gancho de ciclo de vida npm, o implante entregue como parte das bibliotecas JavaScript é executado quando o Node.js carrega o ponto de entrada do pacote CommonJS.
É importante notar que o uso de uma estrutura de resolução multi-blockchain composta por Tron, Aptos e BNB Smart Chain (BSC) foi vinculado a um cluster de ameaças rastreado como PolinRider, que é avaliado como relacionado à Entrevista Contagiosa.
No inÃcio deste mês, Checkmarx e OpenSourceMalware destacaram um conjunto de pacotes npm maliciosos chamados coletivamente de ViteVenom, direcionados ao ecossistema de ferramentas de front-end Vite usando a mesma infraestrutura de comando e controle (C2) baseada em blockchain para fornecer um RAT com shell reverso, coleta de credenciais, exfiltração de arquivos e recursos persistentes de injeção de backdoor.
O implante consiste em duas sequências paralelas de ações -
Uma ramificação em processo que leva a uma carga JavaScript recuperada de 77 KB com semelhanças com a famÃlia de malware DEV#POPPER
Uma ramificação secundária que inicia um processo Node.js desanexado, solicita uma carga útil de inicialização separada de 23.27.13[.]43, descriptografa a resposta e a avalia
Depois que o pacote é carregado, ele inicia um despacho baseado em blockchain que obtém um hash de transação BSC da última transação de saÃda de um endereço Tron codificado. Se esta etapa falhar, ele consulta uma conta Aptos como substituto para buscar a transação BSC e, a partir dela, descriptografar e extrair o código JavaScript e executá-lo.
Tanto as filiais em processo quanto as desvinculadas usam um conjunto distinto de endereços de carteira, contas e transações para Tron, Aptos e BSC. O uso do blockchain também significa que ele oferece resiliência operacional e possibilita a troca de cargas úteis sem a necessidade de publicar uma nova versão dos pacotes.
A primeira carga útil em processo é um carregador JavaScript que emprega o método de resolução blockchain para recuperar um malware de segundo estágio chamado “clientCode”. O processo desanexado, por outro lado, consulta o referido endereço IP para obter e executar o código JavaScript.
“Este é um ramo de entrega redundante, não um substituto inofensivo”, explicou Socket. "Ele é desanexado do processo de importação do Node.js e pode continuar após a saÃda de um comando de compilação, teste ou CLI."
A carga útil final "clientCode" é fortemente ofuscada e funciona como um RAT Node.js com os seguintes recursos, evitando a execução em desenvolvimento, CI ou máquinas em sandbox com os nomes de host github-runner, buildbot, buildkitsandbox e microsoft-standard-WSL2 -
Carregar arquivos para o host de upload configurado
Recuperar JavaScript adicional
Colete detalhes básicos do host
Enviar mensagens de verificação de status
Leia os dados da área de transferência por meio do PowerShell no Windows, pbpaste no macOS e xclip ou xsel no Linux
Duas cargas foram associadas ao processo desanexado: o RAT “clientCode” e um infostealer Python que pode coletar uma ampla gama de dados de hosts comprometidos. É avaliado como uma iteração do malware OmniStealer, cujos detalhes foram destacados pela primeira vez pela eSentire no inÃcio de abril.
Os dados coletados pelo malware estão abaixo -
Informações sobre ambiente e host
Dados do Windows Credential Manager e do Linux Secret Service
Dados do navegador Chromium e Firefox
Armazenamento de extensões de navegador para carteiras e gerenciadores de senhas
Credenciais Git
Configuração da CLI do GitHub
Registros do GitHub Desktop
Armazenamento de código do Microsoft Visual Studio
Socket disse ao The Hacker News que tanto o ViteVenom quanto a última coleção de pacotes npm estão conectados à mesma operação contÃnua por atores de ameaças norte-coreanos, em vez de representarem campanhas separadas.
De acordo com a empresa de segurança de aplicativos, ambas as versões maliciosas foram publicadas pela mesma identidade npm usando Node.js 18.20.0 e npm 10.5.0, com o código presente no momento do pacote. Dito isto, atualmente não está claro se essa injeção de código-fonte foi alcançada após o comprometimento de uma estação de trabalho do desenvolvedor, repositório de origem, ambiente de CI ou credenciais de publicação.
Os desenvolvedores que instalaram as versões afetadas são aconselhados a removê-las de arquivos de bloqueio, caches, espelhos internos, imagens de construção e artefatos de implantação, fixar em uma versão verificada e alternar as credenciais do processo Node.js afetado.
"A versão @joyfill/layouts deve ser tratada como capaz de código arbitrário ex.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #dois #pacotes #joyfill #npm #comprometidos #executam #rat #quando #importados #para #node.js
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário