Los investigadores de ciberseguridad han descubierto una nueva campa\u00f1a en curso dirigida al ecosistema npm que aprovecha una cadena de ejecuci\u00f3n \u00fanica para entregar una carga \u00fatil desconocida a los sistemas espec\u00edficos.<\/p>\n
“Los paquetes en cuesti\u00f3n parecen estar publicados en pares, cada par trabajando al un\u00edsono para obtener recursos adicionales que posteriormente se decodifican y\/o ejecutan”, firma de seguridad de la cadena de suministro de software Phylum dicho<\/a> en un informe publicado la semana pasada.<\/p>\n Con ese fin, el orden en que se instalan el par de paquetes es fundamental para lograr un ataque exitoso, ya que el primero de los dos m\u00f3dulos est\u00e1 dise\u00f1ado para almacenar localmente un token recuperado de un servidor remoto. La campa\u00f1a se descubri\u00f3 por primera vez el 11 de junio de 2023.<\/p>\n Posteriormente, el segundo paquete pasa este token como par\u00e1metro junto con el tipo de sistema operativo a un Solicitud HTTP GET<\/a> para adquirir un segundo script del servidor remoto. Una ejecuci\u00f3n exitosa devuelve una cadena codificada en Base64 que se ejecuta inmediatamente, pero solo si esa cadena tiene m\u00e1s de 100 caracteres.<\/p>\n Phylum revel\u00f3 que el punto final hasta ahora ha devuelto la cadena “bm8gaGlzdG9yeSBhdmFpbGFibGU=”, que se decodifica como “no hay historial disponible”, lo que implica que el ataque a\u00fan es un trabajo en progreso o que est\u00e1 dise\u00f1ado para devolver una carga \u00fatil solo en momentos espec\u00edficos.<\/p>\n Otra hip\u00f3tesis para este comportamiento podr\u00eda ser que depende de la direcci\u00f3n IP (y por extensi\u00f3n, la ubicaci\u00f3n) desde la que se env\u00eda la solicitud que se origina en el primer paquete al generar el token.<\/p>\n Actualmente se desconoce la identidad del actor de amenazas detr\u00e1s de la operaci\u00f3n, aunque tiene todas las caracter\u00edsticas de una amenaza de cadena de suministro “razonablemente” sofisticada dado lo lejos que ha llegado el adversario para ejecutar el ataque, mientras toma medidas para entregar din\u00e1micamente el siguiente carga \u00fatil de etapa para evadir la detecci\u00f3n.<\/p>\n “Es crucial que cada paquete en un par se ejecute secuencialmente, en el orden correcto y en la misma m\u00e1quina para garantizar una operaci\u00f3n exitosa”, se\u00f1al\u00f3 Phylum. “Este ataque cuidadosamente orquestado sirve como un claro recordatorio de la complejidad en constante evoluci\u00f3n de los actores de amenazas modernos en el ecosistema de c\u00f3digo abierto”.<\/p>\n La divulgaci\u00f3n se produce cuando Sonatype descubri\u00f3 un conjunto de seis paquetes maliciosos en el repositorio Python Package Index (PyPI) (broke-rcl, brokerscolors,brokescolors2,brokescolors3,brokesrcl y trexcolors) que fueron cargados por una sola cuenta llamada break.<\/p>\n “Estos paquetes tienen como objetivo el sistema operativo Windows y son id\u00e9nticos en cuanto a su versi\u00f3n”, dijo el investigador de seguridad y periodista Ax Sharma. dicho<\/a>. “Despu\u00e9s de la instalaci\u00f3n, estos paquetes simplemente se descargan y ejecutar un troyano<\/a> alojado en los servidores de Discord”.<\/p>\n Sonatype tambi\u00e9n descubri\u00f3 un paquete denominado libiobe que es capaz de apuntar a los sistemas operativos Windows y Linux. En m\u00e1quinas que ejecutan Windows, el paquete ofrece una ladr\u00f3n de informaci\u00f3n<\/a>mientras que en Linux, est\u00e1 configurado para perfilar el sistema y filtrar esa informaci\u00f3n a un punto final de Telegram.<\/p>\n “Es dif\u00edcil determinar qui\u00e9n ejecutar\u00eda en \u00faltima instancia paquetes con esos nombres o a qui\u00e9n se dirigen espec\u00edficamente”, se\u00f1al\u00f3 Sharma. “Si bien es posible que estos paquetes no empleen ninguna carga \u00fatil o t\u00e1ctica novedosa, o tengan objetivos obvios, son un testimonio de los ataques maliciosos en curso que tienen como objetivo los registros de software de c\u00f3digo abierto como PyPI y npm”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/1685807016_716_La-FTC-condena-a-Amazon-con-una-multa-de-308.jpg\")
<\/a><\/center><\/div>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/La-nueva-campana-en-curso-apunta-al-ecosistema-npm-con.png\")
<\/a><\/center><\/div>\n