Un actor de amenazas apodado «ROJO-LILI» se ha vinculado a una campaña de ataque a la cadena de suministro a gran escala en curso dirigida al repositorio de paquetes NPM mediante la publicación de casi 800 módulos maliciosos.
“Habitualmente, los atacantes utilizan una cuenta NPM desechable anónima desde la que lanzan sus ataques”, dijo la empresa de seguridad israelí Checkmarx. dijo. «Como parece esta vez, el atacante ha automatizado completamente el proceso de creación de cuentas NPM y ha abierto cuentas dedicadas, una por paquete, lo que hace que su nuevo lote de paquetes maliciosos sea más difícil de detectar».
Los hallazgos se basan en informes recientes de JFrog y Sonatipolos cuales detallaron cientos de paquetes de NPM que aprovechan técnicas como la confusión de dependencias y el error tipográfico para apuntar a los desarrolladores de Azure, Uber y Airbnb.
Según un análisis detallado del modus operandi de RED-LILI, se dice que la evidencia más temprana de actividad anómala ocurrió el 23 de febrero de 2022, con el grupo de paquetes maliciosos publicados en «ráfagas» en el lapso de una semana.
Específicamente, el proceso de automatización para cargar las bibliotecas no autorizadas en NPM, que Checkmarx describió como una «fábrica», implica el uso de una combinación de código Python personalizado y herramientas de prueba web como Selenium para simular las acciones del usuario necesarias para replicar el proceso de creación de usuarios en el registro. .
Para superar la barrera de verificación de contraseña de un solo uso (OTP) establecida por NPM, el atacante aprovecha una herramienta de código abierto llamada Interactuar para extraer la OTP enviada por los servidores NPM a la dirección de correo electrónico proporcionada durante el registro, lo que permite que la solicitud de creación de cuenta se realice correctamente.
Armado con esta nueva cuenta de usuario de NPM, el actor de amenazas procede a crear y publicar un paquete malicioso, solo uno por cuenta, de manera automatizada, pero no antes de generar un token de acceso para publicar el paquete sin requerir un desafío OTP por correo electrónico.
«A medida que los atacantes de la cadena de suministro mejoran sus habilidades y dificultan la vida de sus defensores, este ataque marca otro hito en su progreso», dijeron los investigadores. «Al distribuir los paquetes entre varios nombres de usuario, el atacante dificulta que los defensores se correlacionen [and] derríbalos a todos con ‘un golpe’. Por eso, por supuesto, aumenta las posibilidades de infección».