Новая вредоносная программа IronWorm поразила 36 пакетов в ходе атаки на цепочку поставок npm.

[zender]

В результате новой атаки на цепочку поставок 36 пакетов в индексе Node Package Manager (npm) были заражены вредоносным ПО IronWorm, предназначенным для кражи информации.


Вредоносная программа нацелена на 86 переменных окружения (пары ключ-значение) и 20 файлов учетных данных, которые могут содержать учетные данные OpenAI, AWS, Anthropic и npm, файлы конфигурации хранилища, ключи SSH и файлы криптовалютного кошелька Exodus.


По данным исследователей из компании JFrog, занимающейся цепочками поставок и DevOps, IronWorm написан на Rust, скрывается за руткитом ядра eBPF и взаимодействует с оператором через сеть Tor.

Вредоносная программа на основе Rust самораспространяется, используя украденные учетные данные для публикации в npm; это включает в себя секреты, связанные с рабочим процессом доверенной публикации npm.


После взлома среды разработки или системы непрерывной интеграции (CI) вредоносная программа может публиковать троянизированные версии пакетов, принадлежащих жертве, которые затем заражают других разработчиков и системы CI.


Подобное поведение концептуально схоже с Shai Hulud , код которого недавно был опубликован на GitHub . Хотя исследователи JFrog не обнаружили явной связи между IronWorm и Shai Hulud, они заметили одинаковые имена коммитов в обеих атаках на цепочки поставок.


Это открывает возможность того, что новое вредоносное ПО является эволюцией полезной нагрузки TeamPCP, поскольку IronWorm, по всей видимости, представляет собой «специально разработанный, тщательно созданный имплант от организации, имеющей собственную инфраструктуру».


По данным JFrog, последняя атака началась с взломанного аккаунта под ником 'asteroiddao', который публиковал версии пакетов, содержащие исполняемый файл Rust ELF, запускаемый с помощью 'preinstall', и внедрял вредоносные коммиты в репозитории.


Автор коммита указан как «claude», а временные метки указывают на несколько лет назад, в некоторых случаях до 13 лет, хотя коммиты были отправлены в последние несколько дней. Вероятно, это делается для того, чтобы избежать расследования.


Одним из примечательных элементов в результатах исследования JFrog является механизм, использующий GitHub Actions для доставки украденных секретов. JFrog объясняет, что вредоносная программа сериализует секреты в одно значение, а затем «записывает его в файл с безобидным на вид именем, как если бы это был вывод команды lint или форматирования».


Последний этап процесса — загрузка файла в качестве артефакта сборки, который может быть скачан любым пользователем, имеющим доступ. Таким образом, злоумышленник может полностью избежать необходимости во внешней системе управления и контроля (C2).


Однако исследователи отмечают, что этот механизм доставки не использовался в проанализированной атаке IronWorm на цепочку поставок.


Ещё одна обнаруженная особенность заключается в том, что оператор жёстко закодировал фразу восстановления своего собственного криптовалютного кошелька. Исследователи говорят, что единственная причина этого состоит в том, что злоумышленник не хотел, чтобы вредоносная программа украла её на этапе тестирования.


Компания Ox Security, специализирующаяся на безопасности приложений , заявляет, что атака IronWorm была обнаружена на очень ранней стадии и остановлена до того, как она распространилась на более популярные пакеты в npm.


В отчете компания приводит список всех затронутых названий пакетов и их версий, а также рекомендует разработчикам обновиться до исправленных версий, менять ключи и включить двухфакторную аутентификацию (2FA) для всех учетных записей.


Одновременно с этим компании Endor Labs и StepSecurity обнаружили очень похожую, но отличающуюся атаку с использованием вредоносного ПО на основе JavaScript под названием binding.gyp, осуществляющего отравление реестра и заражение GitHub Actions, которая происходила в тот же период времени.