Se ha descubierto que un conjunto de paquetes npm falsos descubiertos en el repositorio Node.js comparten v\u00ednculos con actores patrocinados por el estado de Corea del Norte, seg\u00fan muestran nuevos hallazgos de Phylum.<\/p>\n
Los paquetes se denominan recovery-time-async, data-time-utils, login-time-utils, mongodb-connection-utils y mongodb-execution-utils.<\/p>\n
Uno de los paquetes en cuesti\u00f3n, tiempo de ejecuci\u00f3n as\u00edncrono<\/a>se hace pasar por su contraparte leg\u00edtima Tiempo de ejecuci\u00f3n<\/a>, una biblioteca con m\u00e1s de 27.000 descargas semanales. El tiempo de ejecuci\u00f3n es una utilidad de Node.js que se utiliza para medir el tiempo de ejecuci\u00f3n en el c\u00f3digo.<\/p>\n “En realidad, instala varios scripts maliciosos, incluido un ladr\u00f3n de criptomonedas y credenciales”, Phylum. dicho<\/a>, describiendo la campa\u00f1a como un ataque a la cadena de suministro de software dirigido a desarrolladores. El paquete fue descargado 302 veces<\/a> desde el 4 de febrero de 2024, antes de ser retirado.<\/p>\n En un giro interesante, los actores de la amenaza se esforzaron por ocultar el c\u00f3digo malicioso ofuscado en un archivo de prueba, que est\u00e1 dise\u00f1ado para recuperar cargas \u00fatiles de la siguiente etapa desde un servidor remoto, robar credenciales de navegadores web como Brave, Google Chrome y Opera, y recuperar un script de Python, que, a su vez, descarga otros scripts –<\/p>\n Phylum dijo que identific\u00f3 comentarios en el c\u00f3digo fuente (“\/Users\/ninoacuna\/”) que permitieron rastrear un perfil de GitHub ahora eliminado con el mismo nombre (“Nino Acuna” o binarioExDev) que contiene un repositorio llamado File-Uploader. .<\/p>\n Dentro del repositorio estaban presentes scripts de Python que hac\u00edan referencia a las mismas direcciones IP (162.218.114[.]83 \u2013 posteriormente cambiado a 45.61.169[.]99) sol\u00eda buscar los scripts de Python antes mencionados.<\/p>\n Se sospecha que el ataque es un trabajo en progreso, ya que al menos cuatro paquetes m\u00e1s con caracter\u00edsticas id\u00e9nticas llegaron al repositorio de paquetes npm, atrayendo un total de 325 descargas.<\/p>\n Phylum, que tambi\u00e9n analiz\u00f3 las dos cuentas de GitHub que sigue binarioExDev, descubri\u00f3 otro repositorio conocido como mave-finance-org\/auth-playground, que ha sido bifurcado no menos de una docena de veces por otras cuentas.<\/p>\n Si bien bifurcar un repositorio en s\u00ed no es algo fuera de lo com\u00fan, un aspecto inusual de algunos de estos repositorios bifurcados fue que se les cambi\u00f3 el nombre a “auth-demo” o “auth-challenge”, lo que plantea la posibilidad de que el repositorio original haya sido compartido como parte de una prueba de codificaci\u00f3n para una entrevista de trabajo.<\/p>\n Posteriormente, el repositorio se traslad\u00f3 a banus-finance-org\/auth-sandbox, Dexbanus-org\/live-coding-sandbox y mave-finance\/next-assessment, lo que indica intentos de sortear activamente los intentos de eliminaci\u00f3n de GitHub. Todas estas cuentas han sido eliminadas.<\/p>\n Es m\u00e1s, se descubri\u00f3 que el paquete de la siguiente evaluaci\u00f3n conten\u00eda una dependencia “json-mock-config-server” que no figura en el registro de npm, sino que se sirve directamente desde el dominio npm.mave.[.]finanzas.<\/p>\n Vale la pena se\u00f1alar que Ban\u00fas afirma ser un intercambio al contado perpetuo descentralizado<\/a> con sede en Hong Kong, y la empresa incluso public\u00f3 un oportunidad de trabajo<\/a> para un desarrollador frontend senior el 21 de febrero de 2024. Actualmente no est\u00e1 claro si se trata de una oferta de trabajo genuina o si se trata de un elaborado esquema de ingenier\u00eda social.<\/p>\n Las conexiones con los actores de amenazas norcoreanos provienen del hecho de que el JavaScript ofuscado incrustado en el paquete npm se superpone con otro malware basado en JavaScript denominado BeaverTail que se propaga a trav\u00e9s de un mecanismo similar. La campa\u00f1a recibi\u00f3 el nombre en c\u00f3digo Entrevista contagiosa de la Unidad 42 de Palo Alto Networks en noviembre de 2023.<\/p>\n Contagious Interview es un poco diferente de Operation Dream Job, que est\u00e1 vinculada al Grupo Lazarus, en que se centra principalmente en apuntar a desarrolladores a trav\u00e9s de identidades falsas en portales de empleo independientes para enga\u00f1arlos para que instalen paquetes npm maliciosos, Michael Sikorski, vicepresidente y CTO. de la Unidad 42 de Palo Alto Networks, dijo a The Hacker News en ese momento.<\/p>\n Desde entonces, uno de los desarrolladores que fue v\u00edctima de la campa\u00f1a confirm\u00f3 a Phylum que el repositorio se comparte bajo la apariencia de una entrevista de codificaci\u00f3n en vivo, aunque dijo que nunca lo instal\u00f3 en su sistema.<\/p>\n “M\u00e1s que nunca, es importante que tanto los desarrolladores individuales como las organizaciones de desarrollo de software permanezcan alerta contra estos ataques en c\u00f3digo fuente abierto”, dijo la compa\u00f1\u00eda.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/02\/Hackers-norcoreanos-atacan-a-desarrolladores-con-paquetes-npm-maliciosos.jpg\")
<\/a><\/center><\/div>\n\n
<\/a><\/div>\nSurgen conexiones con actores norcoreanos<\/h2>\n
<\/a><\/div>\n<\/a><\/center><\/div>\n