Badacze bezpieczeństwa zidentyfikowali niemal 800 pakietów w rejestrze npm, które najwyraźniej stanowią część kampanii rozprowadzającej złośliwe oprogramowanie zdalnego dostępu i narzędzia do kradzieży informacji w systemach Windows, macOS i Linux.
Według Paula McCarty’ego, badacza z OpenSourceMalware, pakiety wykorzystują mieszankę nazw imitujących legalne pakiety poprzez literówki, nazw generowanych losowo oraz nazw wygenerowanych przez AI. Zamiast polegać na skryptach cyklu życia npm, takich jak preinstall lub postinstall, pakiety instruują programistów, aby importowali je za pomocą funkcji require() JavaScriptu, co umożliwia uruchomienie złośliwego kodu podczas ładowania modułu.
Początkowy komponent, śledzony jako WEL1DROPPER, określa system operacyjny hosta i architekturę procesora, zanim pobierze odpowiadający im ładunek. Jego podstawowa infrastruktura pobierania wykorzystuje kilka Cloudflare Workers. Jeśli te żądania zakończą się niepowodzeniem, złośliwe oprogramowanie może użyć rekordów DNS TXT powiązanych z domeną wel1[.]ru, aby odtworzyć ładunek z wielu fragmentów zakodowanych w Base64.
Funkcje specyficzne dla platform
- Złośliwe oprogramowanie dla Windows ma zakłócać monitorowanie ETW i AMSI, sprawdzać, czy działa w środowisku zwirtualizowanym lub sandboxie, tworzyć mechanizmy trwałości za pomocą klucza Registry Run i zaplanowanego zadania oraz pobierać zaszyfrowany plik wykonywalny.
- Wariant dla macOS przeprowadza kontrole antyanalityczne, ustanawia LaunchAgent i pobiera oddzielny plik binarny, przy czym dostarczanie przez DNS jest dostępne jako rozwiązanie awaryjne.
- Próbka dla Linuxa jest plikiem wykonywalnym ELF spakowanym za pomocą UPX, który może pobierać dodatkowe komponenty, a ostatecznie wdrażać Sliver — otwartoźródłową platformę dowodzenia i kontroli.
Badacze znaleźli również plik o nazwie lib/telemetry.js. Chociaż przypomina on legalną bibliotekę analityczną i nie jest importowany przez główny punkt wejścia pakietu, zawiera funkcje programu pobierającego. Analitycy uważają, że ponadwymiarowy plik może mieć na celu ukrycie złośliwego kodu podczas pobieżnych przeglądów.
Odniesienia do rosyjskich firm finansowych i płatniczych w ładunku dla macOS mogą wskazywać na ukierunkowanie kampanii na organizacje z tego sektora. Firma Sonatype, która nazywa tę aktywność Flooding Dropper, stwierdziła, że operacja może stanowić kontynuację wcześniejszej kampanii dependency confusion znanej jako Moika.
Ustalenia te wpisują się w szerszą falę złośliwej aktywności wymierzonej w npm i PyPI, obejmującą kradzież poświadczeń, kradzież kryptowalut, gromadzenie sekretów chmurowych oraz pozyskiwanie tokenów CI/CD. Badacze osobno ostrzegali, że niektóre rozszerzenia Chrome reklamowane jako narzędzia zwiększające produktywność lub narzędzia użytkowe zawierają oprogramowanie do współdzielenia przepustowości, które przekształca przeglądarki w zdalnie sterowane proxy do indeksowania sieci.