Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9taill\u00e9 le fonctionnement interne du malware voleur de crypto-monnaie qui a \u00e9t\u00e9 distribu\u00e9 via 13 packages NuGet malveillants dans le cadre d’une attaque de la cha\u00eene d’approvisionnement ciblant les d\u00e9veloppeurs .NET.<\/p>\n
La campagne de typosquatting sophistiqu\u00e9e, qui a \u00e9t\u00e9 d\u00e9taill\u00e9e par JFrog \u00e0 la fin du mois dernier, a usurp\u00e9 l’identit\u00e9 de packages l\u00e9gitimes pour ex\u00e9cuter du code PowerShell con\u00e7u pour r\u00e9cup\u00e9rer un binaire de suivi \u00e0 partir d’un serveur cod\u00e9 en dur.<\/p>\n
Le attaque en deux temps<\/a> culmine dans le d\u00e9ploiement d’une porte d\u00e9rob\u00e9e persistante bas\u00e9e sur .NET, appel\u00e9e Impala Stealer, qui est capable d’obtenir un acc\u00e8s non autoris\u00e9 aux comptes de crypto-monnaie des utilisateurs.<\/p>\n “La charge utile a utilis\u00e9 une technique d’obscurcissement tr\u00e8s rare, appel\u00e9e” compilation .NET AoT “, qui est beaucoup plus furtive que l’utilisation d’obfuscateurs” pr\u00eats \u00e0 l’emploi “tout en rendant le binaire difficile \u00e0 d\u00e9sosser”, a d\u00e9clar\u00e9 JFrog \u00e0 The Hacker News dans un d\u00e9claration.<\/p>\n .FILET Compilation AoT<\/a> est un technique d’optimisation<\/a> qui permet aux applications d’\u00eatre compil\u00e9es \u00e0 l’avance en code natif. Les applications AOT natives ont \u00e9galement un temps de d\u00e9marrage plus rapide et des empreintes m\u00e9moire r\u00e9duites, et peuvent s’ex\u00e9cuter sur une machine sans runtime .NET install\u00e9.<\/p>\n La charge utile de deuxi\u00e8me \u00e9tape est livr\u00e9e avec un m\u00e9canisme de mise \u00e0 jour automatique qui lui permet de r\u00e9cup\u00e9rer de nouvelles versions de l’ex\u00e9cutable \u00e0 partir d’un emplacement distant. Il atteint en outre la persistance en injectant du code JavaScript dans les applications Discord ou Microsoft Visual Studio Code, activant ainsi le lancement du binaire voleur.<\/p>\n Le binaire proc\u00e8de ensuite \u00e0 la recherche de l’installation de l’application de bureau Exodus Wallet et ins\u00e8re du code JavaScript dans divers fichiers HTML afin de r\u00e9colter et d’exfiltrer des donn\u00e9es sensibles vers un webhook Discord cod\u00e9 en dur.<\/p>\n L’extrait de code JavaScript, pour sa part, est extrait d’un site Web de collage en ligne d’o\u00f9 il a d\u00e9j\u00e0 \u00e9t\u00e9 supprim\u00e9. Cela dit, on soup\u00e7onne que le code a pu \u00eatre utilis\u00e9 pour voler les informations d’identification de l’utilisateur et acc\u00e9der \u00e0 d’autres informations d’int\u00e9r\u00eat.<\/p>\n “Les mauvais acteurs ont utilis\u00e9 des techniques de typosquattage pour d\u00e9ployer une charge utile malveillante personnalis\u00e9e […] qui cible le portefeuille crypto Exodus et divulgue les informations d’identification de la victime aux \u00e9changes de crypto-monnaie, en utilisant l’injection de code \u00bb, a d\u00e9clar\u00e9 Shachar Menashe, directeur principal chez JFrog Security Research.<\/p>\n Apprenez \u00e0 s\u00e9curiser le p\u00e9rim\u00e8tre d’identit\u00e9 – Strat\u00e9gies \u00e9prouv\u00e9es<\/p>\n Am\u00e9liorez la s\u00e9curit\u00e9 de votre entreprise gr\u00e2ce \u00e0 notre prochain webinaire sur la cybers\u00e9curit\u00e9 dirig\u00e9 par des experts\u00a0: Explorez les strat\u00e9gies de p\u00e9rim\u00e8tre d’identit\u00e9\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n “Notre enqu\u00eate prouve qu’aucun r\u00e9f\u00e9rentiel de logiciels open source n’est totalement digne de confiance, de sorte que des mesures de s\u00e9curit\u00e9 doivent \u00eatre prises \u00e0 chaque \u00e9tape du cycle de vie du d\u00e9veloppement logiciel pour garantir la s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement logicielle.”<\/p>\n Les d\u00e9couvertes surviennent alors que Phylum a d\u00e9terr\u00e9 un package npm malveillant nomm\u00e9 mathjs-min qui a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 dans le r\u00e9f\u00e9rentiel le 26 mars 2023 et qui abritait un voleur d’informations d’identification qui r\u00e9cup\u00e8re les mots de passe Discord de l’application officielle ainsi que des navigateurs Web comme Google Chrome, Brave et Opera.<\/p>\n “Ce package est en fait une version modifi\u00e9e de la biblioth\u00e8que math\u00e9matique Javascript largement utilis\u00e9e mathjs, et a \u00e9t\u00e9 inject\u00e9 avec du code malveillant apr\u00e8s avoir \u00e9t\u00e9 fork\u00e9”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement logicielle. a dit<\/a>. “La version modifi\u00e9e a ensuite \u00e9t\u00e9 publi\u00e9e sur NPM avec l’intention de la faire passer pour une version minifi\u00e9e de la v\u00e9ritable biblioth\u00e8que mathjs.”<\/p>\n <\/p>\n![\"Logiciel](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgKfR3-EDcTsnKzHDoDaSWyiX_5KVhY1cmac9uZlSzjUMuNA7UqK8D0ajLaxYzM02M3OVph873FOT92XJYqooEzXaeUcpFaCGFz2LOrTrx2JTk4o3sxf5rl0NarlZT45rzhFPvxk98gVTPqWI6FMbXIfV9qzhx8CDQpayTO6SghBzSPjRLk9zTTeIyU\/s728-e3650\/malware.png\" "\\"Logiciel")
<\/div>\n