Вредоносные пакеты npm заражают машины разработчиков SSH-бэкдором

[admin]

Исследователи обнаружили ряд подозрительных пакетов в npm и выяснили, что те были созданы для сбора приватных ключей Ethereum и получения удаленного доступа к компьютерам жертв через SSH.

Специалисты компании Phylum рассказывают, что злоумышленники стремились «получить SSH-доступ к машине жертвы путем записи открытого ключа SSH в файл authorized_keys».


С этой вредоносной кампанией удалось связать следующие пакеты, которые пытались имитировать легитимный пакет ethers:

• ethers-mew (62 загрузки);
• ethers-web3 (110 загрузок);
• ethers-6 (56 загрузок);
• ethers-eth (58 загрузок);
• ethers-aaa (781 загрузка);
• ethers-audit (69 загрузок);
• ethers-test (336 загрузок).

Отмечается, что некоторые из пакетов, опубликованные от лица аккаунтов crstianokavic и timyorks, предположительно использовались только для тестирования, поскольку содержали лишь минимальные изменения. Самым свежим и наиболее завершенным пакетом атакующих был пакет ethers-mew.

Это далеко не первый случай, когда злоумышленники используют тайпсквоттинг и маскируют свою малварь под различные популярные решения. К примеру, в прошлом году аналитики Phylum описывали тайпсквоттерский пакет пакет ethereum-cryptographyy, который передавал приватные ключи жертв на сервер в Китае, используя вредоносную зависимость.

В рамках новой кампании использовался иной подход: вредоносный код встраивался непосредственно в сами пакеты, что позволяло хакерам предавать приватные ключи Ethereum на принадлежащий им домен ether-sign[.]com.

Также отмечается, что атака требовала от жертв реального использования пакетов в своем коде (например, создания нового инстанса Wallet с использованием вредоносного пакета), в отличие от других случаев, когда для запуска малвари достаточно просто установить сам пакет.

Уже упомянутый ethers-mew также содержал средства для модификации файла /root/.ssh/authorized_keys, чтобы добавить туда принадлежащий злоумышленникам SSH-ключ и получить постоянный удаленный доступ к взломанному хосту.

«Все эти пакеты, а также учетные записи их авторов просуществовали очень короткое время и, по всей видимости, в итоге были удалены самими авторами», — сообщают специалисты Phylum.