Immagini malevoli nell’ultimo attacco alla supply chain

admin — Wed, 17 Jul 2024 07:29:48 +0000

Una serie di pacchetti dannosi, camuffati da software legittimi, sono stati scoperti nel registro npm dalla società di cybersicurezza Phylum.

I pacchetti – identificati il 13 luglio 2024 – contenevano funzionalità nascoste di comando e controllo incorporate in file immagine, eseguite durante il processo di installazione.

I ricercatori di Phylum hanno scoperto due pacchetti in questa campagna, uno dei quali denominato “img-aws-s3-object-multipart-copy” imitava una libreria GitHub legittima. La versione dannosa includeva modifiche per eseguire un nuovo script chiamato “loadformat.js” al momento dell’installazione.

Il file loadformat.js, pur sembrando innocuo a prima vista, conteneva un codice sofisticato progettato per estrarre ed eseguire payload nascosti dai file immagine forniti con il pacchetto. L’analisi di Phylum ha rivelato che una di queste immagini, camuffata da logo Microsoft, conteneva codice dannoso in grado di stabilire una connessione con un server di comando e controllo.

“Nascondere i payload nelle immagini non è un concetto nuovo”, afferma Phylum nel suo rapporto. “Tuttavia, quando un aggressore cerca di nascondere i propri payload in modo così profondo, possiamo solo supporre che sia sofisticato e che operi con un chiaro intento malevolo”.

Il payload estratto comprendeva la funzionalità di registrazione delle macchine infette con il server dell’aggressore, il recupero e l’esecuzione periodica di comandi e la trasmissione dei risultati all’aggressore. Il server di comando e controllo è stato identificato come operante dall’indirizzo IP 85.208.108.29.

Particolarmente preoccupante è il periodo di tempo in cui questi pacchetti dannosi sono rimasti disponibili sul registro di npm.

“I pacchetti dannosi sono rimasti disponibili su npm per quasi due giorni”, ha osservato Phylum. “Questo dato è preoccupante perché implica che la maggior parte dei sistemi non è in grado di rilevare e segnalare tempestivamente questi pacchetti, lasciando gli sviluppatori vulnerabili agli attacchi per periodi di tempo più lunghi”.

Questo incidente mette in evidenza la crescente sofisticazione degli attacchi alla catena di approvvigionamento che prendono di mira gli ecosistemi open-source. Phylum sottolinea la necessità critica per gli sviluppatori e le organizzazioni di sicurezza di esercitare estrema cautela quando incorporano librerie open-source nei loro progetti.

Gli sviluppatori sono invitati ad aumentare la vigilanza e a migliorare l’uso delle capacità di rilevamento per combattere questi attacchi sempre più sofisticati alle catene di fornitura del software.

L'articolo Immagini malevoli nell’ultimo attacco alla supply chain proviene da Webbare.

Sonatype scopre altri pacchetti PyPI e npm dannosi

admin — Wed, 28 Jun 2023 12:51:39 +0000

Sonatype continua a scoprire un numero significativo di pacchetti dannosi all’interno dei registri software PyPI e npm.

Tra i pacchetti segnalati ci sono diversi pacchetti Python pubblicati su PyPI, mascherati da librerie legittime che prendono il nome dalla popolare libreria “colors” di npm.

I pacchetti dannosi, che includono nomi come “broke-rcl”, “brokescolors” e “trexcolors”, erano destinati esclusivamente al sistema operativo Windows. Una volta installati, questi pacchetti avviavano il download e l’esecuzione di un trojan ospitato sui server di Discord.

Sonatype ha prontamente segnalato queste scoperte a PyPI, ottenendo la rimozione dei pacchetti dannosi e dell’account utente associato.

Un altro pacchetto dannoso, “trexcolors”, che prende il nome dalla libreria npm “colors”, è stato scoperto scaricare ed eseguire un trojan noto come “trex.exe” al momento dell’installazione.

Questo trojan, rilevato da VirusTotal, funziona come ruba-informazioni e incorpora tecniche di evasione per impedire l’analisi e gli sforzi di reverse engineering.

Malware multipiattaforma: Libiobe

Oltre ai pacchetti sopra citati, Sonatype ha identificato un pacchetto PyPI denominato “libiobe”, probabilmente ispirato alla libreria legittima “iobes”.

A differenza dei pacchetti specifici per Windows, “libiobe” mirava sia ai sistemi operativi Windows che Unix.

Su Windows, il pacchetto distribuiva un eseguibile infetto da trojan, denominato “V0d220823bb829d3fcc62d10adf.exe”, nascosto nel codice sorgente come stringa codificata in base64.

Sui sistemi Linux/Unix, invece, è stato eseguito un codice Python minificato, anch’esso codificato in base64, che ha inviato dati di fingerprinting del sistema a un endpoint Telegram.

Codice offuscato: FNBOT2, TAGADAY e ZUPPA

Oltre ai pacchetti PyPI e npm che imitano la libreria “colors”, l’analisi di Sonatype ha rivelato codice offuscato nei pacchetti denominati FNBOT2, TAGADAY e ZUPPA.

Questi pacchetti utilizzano uno schema simile a quello osservato in precedenti casi di attacchi cryptominer, utilizzando sei variabili denominate magia, amore, dio, destino, gioia e fiducia.

La tecnica di offuscamento utilizzata è comunemente facilitata da strumenti online, come quello fornito da development-tools.net.

La scoperta di questi pacchetti dannosi da parte di Sonatype mette in evidenza le minacce persistenti che devono affrontare i registri di software open-source come PyPI e npm. Anche se i pacchetti identificati non introducono nuovi payload o tattiche, servono a ricordare i continui tentativi di sfruttare le vulnerabilità negli ecosistemi open-source da parte di attori malintenzionati.

L'articolo Sonatype scopre altri pacchetti PyPI e npm dannosi proviene da Webbare.

npm Archivi - Webbare

Immagini malevoli nell’ultimo attacco alla supply chain

Sonatype scopre altri pacchetti PyPI e npm dannosi

Malware multipiattaforma: Libiobe

Codice offuscato: FNBOT2, TAGADAY e ZUPPA