Çöpçü kötü amaçlı yazılım, hedef geliştiricileri hedeflemek için popüler NPM paketlerinden ödün veriyor

Deposu, ilgili herhangi bir kod değişikliği içermese de, iyi bilinen NPM paketi Eslint-Config-Crettier, birkaç GitHub kullanıcısına göre yetkilendirilmeden yayınlandı.

Bakım daha sonra sosyal medya aracılığıyla, NPM hesaplarının bir kimlik avı e-postasıyla tehlikeye atıldığını ve ESlint-Config-Prettier sürümleri 8.10.1, 9.1.1, 10.1.6 ve 10.1.7 dahil olmak üzere birkaç paketi etkilediğini doğruladı; ESLINT-Plugin-Prettier Sürümleri 4.2.2 ve 4.2.3; Snyckit sürüm 0.11.9; @pkgr/çekirdek sürüm 0.2.8; ve NAPI-Postinstall Sürüm 0.3.1.

Uzak Detaylar

Bu tedarik zinciri saldırısı, varyantlarında “SCVNGR” gibi yinelenen dizeler nedeniyle “çöpçü” olarak adlandırılan yeni bir kötü amaçlı yazılım dağıttı.

Enfeksiyon vektörü, LogDiskspace adlı bir işlevi yürüten, tehlikeye atılan paketlerde Windows Systems’ı bir kurstan.js komut dosyası aracılığıyla hedefler.

Bu işlev Win32 platformunu kontrol eder ve Rundll32.exe kullanarak bir alt işlemi ortaya çıkarır. Node-gyp.dll adlı kötü niyetli bir DLL yüklemek için C68E42F416F482D43654F4B68D6496A8E34CE olarak Hashed.

Paket dağılımıyla aynı gün derlenen bu DLL, temel işlemleri için ayrı bir iş parçacığı başlatan bir yükleyici görevi görür.

Cihaz kodu tekniklerini içeren kimlik avı kampanyasının kendisi, NPM tedarik zinciri saldırılarına ilişkin bir yazıda güvenlik araştırmacısı Rad tarafından ayrı ayrı ayrıntılı olarak ayrıntılı olarak ayrıntılı olarak ayrıntılı olarak açıklandı ve saldırganların ilk erişimi nasıl kazandığını vurguladı.

Kötü amaçlı yazılım analizi

Visual Studio C ++ ile yazılmış Scavenger’ın yükleyicisi, tespitten kaçınmak için sofistike anti-analiz önlemleri kullanır.

Rapora göre, GetSyStemFirmWaretable aracılığıyla RAW SMBIOS ürün yazılımı tablosunu sorgulayarak, “VMware”, “qemu” veya “qemu” gibi imzaları tarayarak VM anti-VM kontrolleri gerçekleştirir.

Ek savunmalar, snxhk.dll (avast), sbiedll.dll (sandboxie) ve cmdvrt32.dll (comodo) gibi antivirüs ile ilgili DLL’ler için numaralandırma işlem modüllerinin yanı sıra araçlar içerir.

NTQuerySyStemInformation aracılığıyla üçten fazla işlemciyi sağlayarak ve WriteconSolew ile konsol dışı yürütmeyi onaylayan sistem özniteliklerini doğrular. Herhangi bir kontrol başarısız olursa, bir null işaretçi çöküşüne neden olur.

Kötü amaçlı yazılım, işlem ortamı bloğundan (PEB) yüklü modüller üzerinde bir CRC32 karma rutini kullanarak işlevleri dinamik olarak çözer, Unicode DLL adlarını ASCII ve hesaplama karmalarına ek olarak önbelleğe alınmadan önbelleklemeden dönüştürür.

Dolaylı syscalls aracılığıyla NTSetInformationThread ve NTQuerySystEminformation gibi API’leri açar, EDR kancalarını atlamak için talimatları yamalur. Dizeler, 0x39541B2F8F3EF92D gibi xor anahtarları ile şifrelenir ve anında şifre çözülür.

Komut ve kontrol (C2) sunucuları ile iletişim, kampanya kimlikleri için /c /k2 gibi uç noktalara ve bütünlük kontrolleri için baz64 kodlu yükleri göndererek libcurl ve xxea şifrelemesini (delta 0x9e3779b9 tarafından tanımlanabilir) kullanır.

İkinci aşamalı stealer, uzantılar, ServiceWorkerCache, Dawnwebpucache gibi krom artefaktlarını hedefleyen bu teknikleri yansıtır ve veri pessfiltrasyonu için bağlantıları ziyaret eder, potansiyel olarak kimlik doğrulama belirteçleri, oturum verileri veya tarama geçmişi.

Varyantlar, maruz kalan PDB yolları (C: \ User \ User \ Desktop \ X \ Scavenger-Main \ Scavenger-Client \ X \ Scavenger-CMD.PDB gibi kaymalarla önceki kampanyalara bağlanır.

Uzlaşma göstergeleri

Get Free Ultimate SOC Requirements Checklist Before you build, buy, or switch your SOC for 2025 - Download Now