Kötü Amaçlı NPM Paketleri GitHub Aracılığıyla Yüzlerce Geliştirici SSH Anahtarını Sızdırıyor

Byteknomers

Oca 24, 2024 #ağ güvenliği, #Amaçlı, #Anahtarını, #aracılığıyla, #bilgi Güvenliği, #bilgisayar Güvenliği, #fidye yazılımı kötü amaçlı yazılım, #Geliştirici, #Github, #hack haberleri, #hacker haberleri, #Kötü, #Nasıl heklenir, #Npm, #paketleri, #siber güncellemeler, #siber güvenlik güncellemeleri, #siber güvenlik haberleri, #Siber güvenlik haberleri bugün, #Siber Haberler, #siber saldırılar, #sızdırıyor, #SSH, #veri ihlali, #yazılım güvenlik açığı, #Yüzlerce

23 Ocak 2024Haber odasıYazılım Güvenliği / Tedarik Zinciri

Npm paket kayıt defterinde keşfedilen iki kötü amaçlı paketin, kuruldukları geliştirici sistemlerinden çalınan Base64 şifreli SSH anahtarlarını depolamak için GitHub’dan yararlandığı tespit edildi.

Adı geçen modüller savaş canavarı2000 Ve kodiak2k ayın başında yayınlandı ve ilgi gördü 412 Ve 1.281 indirme npm bakımcıları tarafından kapatılmadan önce. En son indirmeler 21 Ocak 2024’te gerçekleşti.

Keşfi gerçekleştiren yazılım tedarik zinciri güvenlik firması ReversingLabs, warbeast2000’in sekiz farklı versiyonu ve kodiak2k’nin 30’dan fazla versiyonunun bulunduğunu söyledi.

Her iki modül de kurulumdan sonra bir kurulum sonrası betiği çalıştıracak şekilde tasarlanmıştır; her biri farklı bir JavaScript dosyasını alıp çalıştırabilir.

Warbeast2000 özel SSH anahtarına erişmeye çalışırken, kodiak2k “miyav” adlı bir anahtar arayacak şekilde tasarlanmıştır; bu da tehdit aktörünün geliştirmenin ilk aşamalarında muhtemelen bir yer tutucu ad kullanmış olma olasılığını artırır.

Güvenlik araştırmacısı Lucija Valentić, “Bu ikinci aşamadaki kötü amaçlı komut dosyası, /.ssh dizininde bulunan id_rsa dosyasında saklanan özel SSH anahtarını okuyor” dedi. söz konusu warbeast2000 hakkında. “Daha sonra Base64 kodlu anahtarı saldırgan tarafından kontrol edilen GitHub deposuna yükledi.”

Kodiak2k’nin sonraki sürümlerinin, arşivlenmiş bir GitHub projesinde bulunan bir komut dosyasını çalıştırdığı bulundu. İmparatorluk sömürü sonrası çerçeve. Komut dosyası şunları başlatabilir: Mimikatz Kimlik bilgilerini işlem belleğinden boşaltmak için bilgisayar korsanlığı aracı.

Valentić, “Kampanya, siber suçluların ve kötü niyetli aktörlerin, geliştirme kuruluşlarını ve son kullanıcı kuruluşlarını hedef alan kötü amaçlı yazılım tedarik zinciri kampanyalarını desteklemek için açık kaynak paket yöneticilerini ve ilgili altyapıyı kullandığının en son örneğidir” dedi.

siber-2