Paquetes maliciosos de NPM detectados ejecutando Cryptomineros en dispositivos Windows, Linux y macOS

Publicado: 27 Octubre 2021 | Escrito por Javier Orovengua | Correo electrónico | Visto: 1473

Tres bibliotecas de JavaScript cargadas en el repositorio oficial de paquetes de NPM se han desenmascarado como malware de minería criptográfica, lo que demuestra una vez más cómo los repositorios de paquetes de software de código abierto se están convirtiendo en un objetivo lucrativo para ejecutar una serie de ataques en sistemas Windows, macOS y Linux.

Los paquetes maliciosos en cuestión, llamados — named okhsa, klow, y klown —, fueron publicados por el mismo desarrollador y afirmaron falsamente que eran analizadores de cadenas de agente de usuario basados en JavaScript diseñados para extraer detalles de hardware del encabezado HTTP "User-Agent". Pero sin el conocimiento de las víctimas que los importaron, el autor escondió malware de minería de criptomonedas dentro de las bibliotecas.

Desde entonces, la cuenta de NPM del mal actor ha sido desactivada, y las tres bibliotecas, cada una de las cuales se descargó 112, 4 y 65 veces respectivamente, se eliminaron del repositorio a partir del 15 de octubre de 2021.

Los ataques que involucraron a las tres bibliotecas funcionaron detectando el sistema operativo actual, antes de proceder a ejecutar un script .bat (para Windows) o .sh (para SO basado en Unix). "Estos scripts luego descargan un EXE alojado externamente o un ELF de Linux, y ejecutan el binario con argumentos que especifican el grupo de minería a usar, la billetera para extraer criptomonedas y la cantidad de subprocesos de CPU a utilizar", dijo el investigador de seguridad de Sonatype, Ali ElShakankiry. dijo.

Esto está lejos de ser la primera vez que se encuentra brandjacking, (malware de robo de marca) typosquatting y criptominería acechando en los repositorios de software.

A principios de junio, Sonatype y JFrog (antes Vdoo) identificaron paquetes maliciosos que se infiltraban en el repositorio de PyPI y que desplegaban en secreto mineros criptográficos en las máquinas afectadas. Esto a pesar de los paquetes de imitación que llevan el nombre de repositorios o componentes utilizados internamente por empresas de tecnología de alto perfil en lo que se conoce como confusión de dependencia .