I ricercatori di sicurezza hanno identificato 18 pacchetti npm dannosi coinvolti in una campagna mirata contro la catena di fornitura software degli sviluppatori che utilizzano strumenti correlati ad Alibaba. I pacchetti distribuiscono un trojan ad accesso remoto multipiattaforma (RAT) e sembrano progettati per raggiungere ambienti di sviluppo di lingua cinese.
La campagna include lib-mtop, un pacchetto senza ambito che condivide il nome con un pacchetto privato di Alibaba nello spazio dei nomi @ali. Dopo essere stato inizialmente pubblicato nel 2023 senza funzionalità apparentemente attive, le versioni più recenti caricate a marzo e aprile hanno introdotto un loader che utilizza curl per recuperare ed eseguire JavaScript da una posizione remota.
I ricercatori hanno dichiarato che lo stesso account npm ha pubblicato diversi pacchetti aggiuntivi che imitano dipendenze private di Alibaba. Alcuni fungono da wrapper in gran parte vuoti, mentre altri sembrano legittimi se analizzati singolarmente. Nel complesso, tuttavia, i pacchetti costituiscono una catena di dipendenze a più fasi che si attiva durante l'installazione. Secondo quanto riferito, fino a 10 pacchetti-esca dipendono da smart-config-manager, che li collega a componenti di livello inferiore contenenti la logica dannosa.
Un componente recupera da GitHub la configurazione di un motore di regole. Le regole utilizzano il modulo vm di Node.js per determinare quale payload scaricare in base al sistema operativo della vittima. La posizione di download utilizza un dominio simile a quello di Alibaba per apparire affidabile.
Comportamento specifico della piattaforma
- Windows: il malware può terminare le applicazioni aziendali di Alibaba e sostituire i file principali con versioni trojanizzate.
- Linux: scarica e avvia un binario da una directory temporanea, quindi rimuove il file dopo averlo caricato.
- macOS: modifica ~/.zshrc e crea un Launch Agent programmato per essere eseguito periodicamente.
La backdoor finale supporta l'esecuzione di comandi, il trasferimento di file, la ricognizione dell'host, la distribuzione di payload e possibili movimenti laterali. Potrebbe inoltre iniettare codice in strumenti di collaborazione tra cui DingTalk, Wukong e Qoder.
Gli operatori non sono stati identificati. I commenti in lingua cinese e i timestamp dei commit in formato UTC+08:00 suggeriscono la possibile presenza di un attore di lingua cinese, mentre la progettazione mirata della campagna ha portato i ricercatori a valutare lo spionaggio industriale come potenziale obiettivo.
I nomi dei pacchetti interessati includono lib-mtop, aone-kit, aone-kit-cli, aone-sandbox, local-config-parser, smart-config-manager e 12 pacchetti correlati. Le organizzazioni che li hanno installati dovrebbero considerare i sistemi interessati potenzialmente compromessi, ruotare le credenziali da un dispositivo sicuro e analizzare gli host degli sviluppatori alla ricerca di persistenza o attività non autorizzate.