Lazarus Group, хакеры из Северной Кореи, создали новую кампанию, нацеленную на разработчиков криптографии через репозитории NPM. Они представили 6 репозиториев, которые понравятся разработчикам криптографии и добавили вредоносное ПО, создавать бэкдоры, проникнуть в проекты и красть учетные данные.
Группа взлома будет использовать Beavertail, пакет вредоносных программ, чтобы выполнить скрытый файл в целевой системе. Затем вредоносные программы будут красть учетные данные, получив доступ к файлам браузеров и поиском файлов, связанных с криптовалютными кошельками, такими как Exodus. Похищенные данные затем будут отправлены в центр команды и управления, чтобы хакеры могли легко получить доступ к конфиденциальным файлам.
«Приписывая эту атаку», написал Кирилл Бойченко, аналитик по сокетам, «окончательно к Лазару или изысканному подражанию остается сложной, поскольку абсолютная атрибуция по своей природе затруднена. Тем не менее, тактика, методы и процедуры (TTPS), наблюдаемая в этой атаке NPM, тесно связана с известными операциями Lazarus, широко документированными исследователями из Unit42, Esentire, DataDog, Phylum и других с 2022 года ».
Репозитории NPM были основаны на реальных библиотеках, но использовали опечатки и подобное правописание, чтобы имитировать популярные пакеты и уловить разработчиков в установку их. Злодие пакеты были загружены более 300 раз, показывая охват атаки.
Шесть злонамеренных пакетов включают в себя:
«Apt Group», написал Бойченко, «создал и поддерживал репозитории Github для пяти злонамеренных пакетов, предоставляя внешний вид легитимности с открытым исходным кодом и увеличивая вероятность того, что вредный код будет интегрирован в рабочие места разработчика».
Вредоносное ПО было разработано для сбора системной информации, такой как операционная система, системные каталоги и имя хоста, развертывая эту атаку для сотен пользователей NPM.
«Он систематически итерации проживает через профили браузера», — написал Бойченко, «чтобы найти и извлекать конфиденциальные файлы, такие как данные входа в систему из Chrome, Brave и Firefox, а также архивы ключей на MacOS. Примечательно, что вредоносное ПО также нацелено на криптовалютные кошельки, специально извлекая id.json из Solana и Exodus.wallet из Exodus ».
Эта атака является частью более широкой стратегии Lazarus Group по нарушению цепочек поставок. Улвнативное ПО NPM позволяет им ориентироваться на разработчиков, жизненно важную часть глобальной цепочки поставок, и внедряет себя внутри систем, среды развития и криптографии для дальнейших атак. Аналогичные методы были использованы для нацеливания на GitHub и PIPON PIP -пакетов.
«Непрерывный мониторинг необычных изменений зависимости», пишет Бойченко, «может раскрыть вредоносные обновления, блокируя исходящие соединения с известными конечными точками C2, предотвращает эксфильтрацию данных. Недоверенный код из песочницы в контролируемых средах и развертывание защиты конечных точек может обнаружить подозрительную файловую систему или сетевую деятельность ».
Бойченко поднимает критическую точку, потому что разработчики из -за жестких сроков часто используют многие библиотеки, не полностью их проверяя. Криптовалюта, будучи децентрализованной, позволяет разработчикам сотрудничать на огромных расстояниях, но также увеличивает вектор атаки проектов с открытым исходным кодом.
.Согласно отчету Организации Объединенных Наций 2024 года, северокорейские хакеры несут ответственность за 35% краж криптовалюты, составив 1 миллиард долларов в утраченном крипто. Хакеры представляют новый вид угрозы безопасности, будучи государственными субъектами, потому что они могут использовать свое накопленное богатство для финансирования программ ядерного оружия и усовершенствования баллистических ракет.
