Un package malveillant t\u00e9l\u00e9charg\u00e9 dans le registre npm a \u00e9t\u00e9 d\u00e9couvert, d\u00e9ployant un cheval de Troie d’acc\u00e8s \u00e0 distance sophistiqu\u00e9 sur des machines Windows compromises.<\/p>\n
Le colis, nomm\u00e9 “oscompatible<\/a>“, a \u00e9t\u00e9 publi\u00e9 le 9 janvier 2024, attirant au total 380 t\u00e9l\u00e9chargements<\/a> avant qu’il ne soit d\u00e9mont\u00e9.<\/p>\n oscompatible inclus<\/a> “quelques fichiers binaires \u00e9tranges”, selon la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement en logiciels Phylum, comprenant un seul fichier ex\u00e9cutable, une biblioth\u00e8que de liens dynamiques (DLL) et un fichier DAT crypt\u00e9, ainsi qu’un fichier JavaScript.<\/p>\n Ce fichier JavaScript (“index.js”) ex\u00e9cute un script batch “autorun.bat” mais seulement apr\u00e8s avoir ex\u00e9cut\u00e9 une v\u00e9rification de compatibilit\u00e9 pour d\u00e9terminer si la machine cible s’ex\u00e9cute sous Microsoft Windows.<\/p>\n Si la plate-forme n’est pas Windows, elle affiche un message d’erreur \u00e0 l’utilisateur, indiquant que le script est ex\u00e9cut\u00e9 sous Linux ou un syst\u00e8me d’exploitation non reconnu, l’invitant \u00e0 l’ex\u00e9cuter sur \u00ab Windows Server OS \u00bb.<\/p>\n Le script batch, pour sa part, v\u00e9rifie s’il dispose des privil\u00e8ges d’administrateur, et sinon, ex\u00e9cute un composant Microsoft Edge l\u00e9gitime appel\u00e9 “cookie_exporter.exe<\/a>” via une commande PowerShell.<\/p>\n Tenter d’ex\u00e9cuter le binaire d\u00e9clenchera un contr\u00f4le de compte utilisateur (UAC<\/a>) invite demandant \u00e0 la cible de l’ex\u00e9cuter avec les informations d’identification de l’administrateur.<\/p>\n Ce faisant, l’acteur mena\u00e7ant passe \u00e0 l’\u00e9tape suivante de l’attaque en ex\u00e9cutant la DLL (\u00ab msedge.dll \u00bb) en tirant parti d’une technique appel\u00e9e d\u00e9tournement d’ordre de recherche de DLL.<\/p>\n La version trojanis\u00e9e de la biblioth\u00e8que est con\u00e7ue pour d\u00e9crypter le fichier DAT (\u00ab msedge.dat \u00bb) et lancer une autre DLL appel\u00e9e \u00ab msedgedat.dll \u00bb, qui, \u00e0 son tour, \u00e9tablit des connexions avec un domaine contr\u00f4l\u00e9 par un acteur nomm\u00e9 \u00ab kdark1 \u00bb.[.]com” pour r\u00e9cup\u00e9rer une archive ZIP.<\/p>\n Le fichier ZIP est fourni avec le logiciel de bureau \u00e0 distance AnyDesk ainsi qu’un cheval de Troie d’acc\u00e8s \u00e0 distance (“verify.dll”) capable de r\u00e9cup\u00e9rer des instructions d’un serveur de commande et de contr\u00f4le (C2) via WebSockets et de collecter des informations sensibles aupr\u00e8s de l’h\u00f4te. .<\/p>\n Il “installe \u00e9galement les extensions Chrome dans les pr\u00e9f\u00e9rences s\u00e9curis\u00e9es, configure AnyDesk, masque l’\u00e9cran et d\u00e9sactive l’arr\u00eat de Windows, [and] capture les \u00e9v\u00e9nements du clavier et de la souris”, a d\u00e9clar\u00e9 Phylum.<\/p>\n Bien que \u00ab\u00a0oscompatible\u00a0\u00bb semble \u00eatre le seul module npm utilis\u00e9 dans le cadre de la campagne, ce d\u00e9veloppement est une fois de plus le signe que les acteurs malveillants ciblent de plus en plus les \u00e9cosyst\u00e8mes de logiciels open source (OSS) pour les attaques de la cha\u00eene d’approvisionnement.<\/p>\n “Du c\u00f4t\u00e9 binaire, le processus de d\u00e9cryptage des donn\u00e9es, en utilisant un certificat r\u00e9voqu\u00e9 pour la signature, en extrayant d’autres fichiers de sources distantes et en essayant de se d\u00e9guiser en processus de mise \u00e0 jour Windows standard tout au long du processus, est relativement sophistiqu\u00e9 par rapport \u00e0 ce que nous voyons normalement. dans les \u00e9cosyst\u00e8mes OSS”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n Cette divulgation intervient alors que la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Aqua a r\u00e9v\u00e9l\u00e9 que 21,2 % des 50 000 packages npm les plus t\u00e9l\u00e9charg\u00e9s sont obsol\u00e8tes, exposant les utilisateurs \u00e0 des risques de s\u00e9curit\u00e9. En d\u2019autres termes, les packages obsol\u00e8tes sont t\u00e9l\u00e9charg\u00e9s environ 2,1 milliards de fois par semaine.<\/p>\n Cela inclut les r\u00e9f\u00e9rentiels GitHub archiv\u00e9s et supprim\u00e9s associ\u00e9s aux packages ainsi que ceux qui sont maintenus sans r\u00e9f\u00e9rentiel visible, sans historique de validation et sans suivi des probl\u00e8mes.<\/p>\n “Cette situation devient critique lorsque les responsables, au lieu de rem\u00e9dier aux failles de s\u00e9curit\u00e9 avec des correctifs ou des affectations CVE, choisissent de d\u00e9pr\u00e9cier les packages concern\u00e9s”, chercheurs en s\u00e9curit\u00e9 Ilay Goldman et Yakir Kadkoda. dit<\/a>.<\/p>\n “Ce qui rend cela particuli\u00e8rement pr\u00e9occupant, c’est que, parfois, ces responsables ne marquent pas officiellement le paquet comme obsol\u00e8te sur npm, laissant une faille de s\u00e9curit\u00e9 pour les utilisateurs qui peuvent ignorer les menaces potentielles.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Le-cheval-de-Troie-Npm-contourne-lUAC-et-installe-AnyDesk.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n