Προσοχή! Νέα malware καμπάνια διανέμει το Skuld info-stealer

Ερευνητές ασφαλείας ανακάλυψαν μια νέα malware καμπάνια που διανέμει το Skuld info-stealer μέσω κακόβουλων πακέτων, που παρουσιάζονται ως νόμιμα εργαλεία. Οι hackers πίσω από αυτή την καμπάνια παρακολουθούνται ως “k303903” και έχουν παραβιάσει εκατοντάδες μηχανήματα.

Μεταγενέστερη ανάλυση αποκάλυψε ότι η ομάδα “k303903” πιθανότατα λειτουργεί και με τα ψευδώνυμα “shegotit2” και “pressurized“. Σε όλες τις περιπτώσεις, έχουν εντοπιστεί πανομοιότυπες ή πολύ παρόμοιες τακτικές, τεχνικές και διαδικασίες (TTPs) για διείσδυση στο οικοσύστημα npm με κακόβουλο λογισμικό.

Μια πρόσφατη κακόβουλη καμπάνια, που στόχευσε npm developers, παρέδωσε το Skuld info-stealer malware. Αυτή η επίθεση μοιάζει πολύ με μια προηγούμενη επίθεση σε Roblox developers.

Οι φορείς απειλών χρησιμοποίησαν τεχνικές typosquatting και obfuscation για να παραβιάσουν μηχανήματα development και να κλέψουν ευαίσθητα δεδομένα.

Δείτε επίσης: Hacker φυλακίζεται για τη συμμετοχή του στο Raccoon Stealer malware

Η καμπάνια του Δεκεμβρίου αξιοποίησε κοινές μεθόδους ανάπτυξης και βασίστηκε σε commodity malware, υπογραμμίζοντας τη συνεπή χρήση παραπλανητικών τακτικών από αυτούς τους παράγοντες απειλών.

Το code snippet αποκαλύπτει μια κακόβουλη διαδικασία λήψης και εκτέλεσης. Χρησιμοποιούνται βιβλιοθήκες όπως «fs-extra», «path», «node-fetch» και «child_process» για λήψη ενός κακόβουλου binary από μια διεύθυνση URL που έχει μεταμφιεστεί ώστε να φαίνεται νόμιμη. Στη συνέχεια, εκτελείται το binary.

Ερευνητές παρατήρησαν ότι το Obfuscator.io χρησιμοποιήθηκε για το obfuscation του κώδικα, καθιστώντας την ανίχνευση δύσκολη. Μόλις εγκατασταθεί, το κακόβουλο λογισμικό ανακτά και εκτελεί το τελικό payload (Skuld info stealer malware) κάτω από το όνομα αρχείου download.exe.

Η hacking ομάδα k303903 χρησιμοποίησε την τεχνική typosquatting για να ανεβάσει κακόβουλα npm packages (που έμοιαζαν με δημοφιλείς βιβλιοθήκες), τα οποία εξαπατούσαν τους developers να τα εγκαταστήσουν. Ως αποτέλεσμα, ήταν δυνατή η εξαγωγή δεδομένων μέσω ενός Discord webhook.

Η αξιοποίηση φαινομενικά νόμιμων εντολών και αξιόπιστων υπηρεσιών (replit.dev) αποκρύπτει περαιτέρω την κακόβουλη πρόθεση, γεγονός που υπογραμμίζει τη σημασία της προσεκτικής αναθεώρησης του πακέτου πριν από την εγκατάσταση.

Δείτε επίσης: Hackers χρησιμοποιούν το RedLine Stealer για κλοπή διαπιστευτηρίων

Τα κακόβουλα πακέτα npm ελήφθησαν περισσότερες από 600 φορές, κλέβοντας διαπιστευτήρια και ευαίσθητα δεδομένα από χρήστες. Παρά την ταχεία κατάργηση του npm registry, ο αντίκτυπος ήταν σημαντικός.

Για να μειωθούν αυτοί οι κίνδυνοι, οι developers θα πρέπει να εφαρμόσουν μια πολυεπίπεδη προσέγγιση ασφάλειας. Η χρήση αυτοματοποιημένων εργαλείων μπορεί να βοηθήσει στην προληπτική ανίχνευση και στον εντοπισμό κακόβουλων dependencies εντός του development lifecycle, αναχαιτίζοντας απειλές προτού θέσουν σε κίνδυνο τα συστήματα.

Γενικά tips προστασίας από info-stealer malware τύπου Skuld

Πρώτον, είναι σημαντικό να γίνεται ενημέρωση των λειτουργικών συστημάτων και των εφαρμογών, καθώς οι ενημερώσεις αυτές συχνά περιλαμβάνουν διορθώσεις ασφαλείας που μπορούν να προστατεύσουν τις συσκευές από τέτοιου είδους επιθέσεις.

Δεύτερον, προτείνεται η χρήση ισχυρών, μοναδικών κωδικών πρόσβασης. Αυτό μπορεί να βοηθήσει στην προστασία των λογαριασμών από παραβίαση.

Δείτε επίσης: Ο πηγαίος κώδικας του macOS Malware Banshee Stealer διέρρευσε

Τρίτον, είναι απαραίτητη η εκπαίδευση των χρηστών σχετικά με τους κινδύνους των malware. Οι χρήστες πρέπει να γνωρίζουν τα σημάδια των ύποπτων μηνυμάτων ηλεκτρονικού ταχυδρομείου και να αποφεύγουν το κλικ σε ύποπτους συνδέσμους.

Τέλος, υπογραμμίζεται η ανάγκη για χρήση λύσεων ασφαλείας που παρέχουν προστασία σε πραγματικό χρόνο και έχουν τη δυνατότητα να ανιχνεύσουν και να απομακρύνουν το malware.

Πηγή: gbhackers.com