Хакеры используют npm mirrors для размещения фишинговых страниц с перенаправлением.

[admin]

Злоумышленники используют npm и его зеркала для размещения вредоносных HTML-страниц, имитирующих CAPTCHA от Cloudflare, чтобы перенаправлять посетителей на сайты, контролируемые злоумышленниками.

Ранее, в июле, этот метод был обнаружен исследователем безопасности inf0stache , который нашел npm-пакет 'china_airlines', использовавший поддельную страницу подтверждения Cloudflare для перенаправления посетителей на вредоносный домен. Об этом также сообщило издание IntelFusions .

В более позднем отчете компания OX Security обнаружила 24 пакета npm, содержащих одну и ту же вредоносную HTML-страницу, размещенную на npm и различных зеркалах.

Однако, в отличие от типичных атак на цепочку поставок npm , которые мы наблюдали в последнее время, установка пакетов не заражает компьютер разработчика вредоносным ПО или программами для кражи информации.

Вместо этого злоумышленники используют реестр npm в качестве бесплатного хранилища для вредоносных HTML-страниц, которые затем копируются платформами зеркалирования, такими как UNPKG и npmmirror.

Поскольку некоторые из этих платформ позволяют получать доступ к отдельным файлам в npm-пакетах непосредственно в браузере, они фактически превращают эти сайты разработчиков в бесплатный веб-хостинг для фишинговых страниц.

«Хотя вредоносное ПО представляет собой всего лишь одну HTML-страницу внутри пакета npm, и хотя его загрузка не причинит вреда, злоумышленник использует npm не для заражения разработчиков, которые его устанавливают, а для использования реестра и его зеркал в качестве безопасного, проверенного хранилища для вредоносного ПО», — объясняет OX Security .

Издание BleepingComputer изучило один из пакетов, выявленных в ходе кампании, и обнаружило, что он содержит всего два файла: страницу index.html и файл package.json, в котором HTML-файл был указан как основной файл пакета.



npm-пакет, содержащий файлы index.html и package.json.
Источник: BleepingComputer
Когда UNPKG создает зеркальную копию пакета, HTML-файл можно открыть непосредственно в браузере, используя URL-адрес, например, https://unpkg[.]com/[email protected]/index[.]html.

Это приводит к тому, что HTML-код злоумышленника отображается в браузере с легитимного домена unpkg.com, а не с инфраструктуры, контролируемой самим злоумышленником, что потенциально обходит программное обеспечение безопасности, которое могло заблокировать вредоносный сайт.

OX утверждает, что эта техника фактически превращает зеркала npm в «бесплатные фронтенд-хосты для вредоносных HTML-страниц и, возможно, других полезных нагрузок».

Вредоносный HTML-код действует как перенаправитель.​

Вредоносный HTML-код имитирует страницу проверки безопасности Cloudflare, в которую встроен легитимный сервис CAPTCHA Turnstile от Cloudflare.



Вредоносная HTML-страница загружена из
источника UNPKG: BleepingComputer
Независимо от того, пройдёт ли проверка успешно, страница выполнит сильно обфусцированный JavaScript, который перенаправит посетителя на другой сайт.

Руководитель исследовательской группы OX Security Моше Симан Тов Бустан сообщил BleepingComputer, что более ранние версии перенаправляли на microcloud[.]homes в июле и login[.]microsofte[.]live в августе. Исследователи заявили, что некоторые из самых ранних июльских перенаправлений в конечном итоге приводили к легитимному сайту входа в почту Microsoft Outlook (https://outlook.office.com/mail).

Сайт BleepingComputer протестировал одну из вредоносных страниц, размещенных на UNPKG, и подтвердил, что она по-прежнему перенаправляет посетителей на этот домен.

Этот домен в настоящее время неактивен, но он может использоваться для размещения поддельной страницы входа в систему Microsoft.

Исследователи утверждают, что другие пакеты переключились на другой метод перенаправления, использующий api.keyval.org, легитимную платформу для хранения пар ключ-значение.

По словам исследователей, новый код получает зашифрованное значение от сервиса, расшифровывает его в браузере, а затем перенаправляет посетителя на расшифрованный URL-адрес.

Это позволяет злоумышленникам удаленно изменять URL-адрес перенаправления без модификации или повторной публикации пакета npm. На момент проведения исследования OX удаленно настроенный адрес перенаправлял посетителей на легитимный веб-сайт ChatGPT.

Хотя OX утверждает, что значение можно изменить в любой момент, чтобы оно указывало на ClickFix или другие фишинговые страницы, HTML-код, размещенный на npm и проверенный BleepingComputer, не выполняет атаку ClickFix.

Эти страницы также могут перенаправлять посетителей на фишинговые страницы, страницы загрузки вредоносного ПО или другие ресурсы, контролируемые злоумышленниками.

OX также предупреждает, что пакеты npm могут оставаться на зеркалах после удаления из официального реестра npm.

«Злоумышленники постоянно находят и используют новые и изощренные методы не только для распространения вредоносного ПО, но и для использования легитимной инфраструктуры для хранения своих полезных нагрузок и данных», — заключил OX.

Исследователи рекомендуют рассматривать прямые HTML-запросы к зеркальным доменам npm как потенциально подозрительные.


Источник