Зловреден софтуер в npm пакети MALFEX крие изпълними файлове в PNG за заразяване на Windows разработчици

Дълготрайна кампания със зловреден софтуер в npm, наречена MALFEX, е насочена към разработчици за Windows с инструменти за отдалечен достъп, софтуер за кражба на данни и скрити модули за изтегляне.

Атаката използва осем злонамерени пакета и три отделни пътя за доставка, включително изпълним файл за Windows, маскиран като PNG, и криптирана програма, скрита след реалните данни на изображението.

Операторът публикува пакети от август 2023 г. В рамките на осемте злонамерени пакета npm регистрира 40 767 изтегляния до 1 октомври 2026 г., включително 3 017 през предходната седмица.

Тези числа показват обхвата на пакетите, а не потвърдени инфекции: изтеглянията могат да включват повторни инсталации, зависимости и системи, които не могат да изпълняват зловредния код за Windows.

Изследователи от Checkmarx идентифицираха кампанията в доклад от 5 октомври. Те свързаха дванадесет пакета с един вероятен оператор, като четири чисти пакета са използвани за прикритие.

Името MALFEX се появява в профилите на издателя, записите в хранилището и документацията на пакетите, като ключът за декриптиране на изображението също носи същото наименование.

MALFEX npm Malware Hides Executables in PNG Files

Първият път за доставка използва три пакета, които изпълняват скрити скриптове преди или след инсталацията. Тези скриптове извличат файл, доставен като image/png, запазват го като изпълним файл за Windows и го стартират.

Въпреки етикета за изображение, изтегленият файл е архив на Microsoft IExpress, а не нормално PNG изображение. В архива подписан интерпретатор на AutoIt изпълнява криптиран скрипт.

Няколко стъпки на декодиране, включително XOR, RC4 и LZNT1 компресия, разкриват Overlord RAT. Анализът на кода показва инструкции за инжектиране на RAT в подписан процес на Windows, като същевременно прави Explorer да изглежда като негов родителски процес. Изследователите не са наблюдавали това инжектиране по време на тестовете в реално време.

Вторият път работи по различен начин. Верига от три пакета извлича истинско PNG изображение с добавени криптирани данни на изпълним файл след неговия маркер за край.

Зловредният софтуер извлича тези данни и ги декриптира с помощта на AES. Модул за изтегляне на Go след това извлича movinlike, 64 MB софтуер за кражба на информация за Node.js, пакетиран като изпълним файл за Windows.

Тази верига се изпълнява при зареждане на пакета, а не чрез скрипт за инсталиране. Тази разлика е важна, тъй като деактивирането на скриптовете от жизнения цикъл на npm не я спира.

Cyber Security News по-рано отрази друга npm атака, криеща RAT в PNG изображения, въпреки че тази кампания съхраняваше зловредния код в пикселите на изображението, вместо да използва методите на MALFEX.

Remote Control, Account Theft, and Hidden Downloads

Overlord поддържа заснемане на екрана, запис на натиснатите клавиши, събиране на данни от клипборда, търсене на файлове, отдалечени команди и скрит работен плот.

Неговият модул за зареждане създава планирана задача (scheduled task), която се изпълнява на всеки пет минути и носи със със задна дата начална дата от 2020 г. Проверката само на ключовете за автостартиране в системния регистър би пропуснала този метод за запазване на присъствието (persistence).

RAT може да получава адреси на сървъри от криптирани бележки към трансакции в Solana. Анализираната извадка обаче нямаше конфигуриран Solana адрес или списък със сървъри и изследователите не видяха трафик към командни сървъри (command-and-control).

Това е поддържана възможност, а не доказателство, че базираният на блокчейн контрол е бил активен в тестваната инфекция. Софтуерът за кражба movinlike е насочен към токени на Discord, бисквитки на браузъра и запазени пароли, сесии на Telegram и портфейли за криптовалута.

Той променя скриптовете за стартиране на Discord, събира подробности за профили и изпраща откраднати файлове към Discord webhook в компресирани части. Предишни доклади за многостепенната кражба на данни за достъп на StegaBin показват защо инсталациите на пакети от разработчици заслужават щателни проверки за сигурност.

Третият път крие модул за изтегляне в пакет с ASCII изкуство. Специфична стойност на шрифта задейства изтеглянето, докато дългите поредици от интервали избутват злонамерения код извън видимия прозорец на редактора.

Грешките при изтегляне се пренебрегват тихомълком. Последният анализиран зловреден код не беше наличен и Checkmarx не откри доказателства, свързващи този отделен модул за изтегляне с movinlike.

Три злонамерени пакета останаха достъпни за инсталиране в снимката на Checkmarx от 1 октомври. На два липсваха предупреждения за зловреден софтуер (malware advisories), докато друго предупреждение покриваше само две от четири злонамерени версии.

Екипите, разчитащи само на бюлетини с предупреждения, следователно биха могли да пропуснат известен зловреден код. Тези констатации описват проверките към датата на доклада, а не състояние на регистъра в реално време.

Разработчиците трябва да инспектират дърветата със зависимости, lockfile файловете, кешовете на пакетите и крайните точки за Windows. Ако е инсталиран засегнат пакет, изолирайте хоста, запазете доказателствата, премахнете механизмите за запазване на присъствието и променете изложените пароли от чиста система.

Прекратете сесиите в Telegram и преместете изложените средства в криптовалута към нови портфейли. Блокирайте всички осем злонамерени пакета и техните специфични пътища за изтегляне, без да блокирате напълно споделените хостинг услуги.

Самото премахване на пакетите не отменя откраднатите сесии или инсталирания зловреден софтуер. Свързаното отразяване на фалшиви съобщения при npm инсталация и компрометирани SAP npm пакети подсилва риска от сляпо доверие в процесите по инсталиране на пакети.

Анализът на пейзажа на заплахите в npm от Unit 42 предоставя по-широк контекст за тези рискове във веригата за доставки. Екипите по сигурност трябва също да прегледат активността в профилите и да премахнат злонамерените копия от вътрешните регистри, преди разработчиците да преинсталират засегнатите зависимости.

Indicators of compromise (IoCs):-

Тези диапазони от версии са изрично идентифицирани като злонамерени; Checkmarx посочва, че function-flag@2.3.4 не е злонамерен.

URLs and Hosts

Таблицата с версии на зловредния код на Checkmarx използва hxxp[:] вместо hxxps[:] за двата пътя към 45.89.30.194, пътя към 191.96.81.101 и 51.137.158.178/download. Поради това и двата протоколни варианта са посочени от източника. Докладът също така предупреждава да не се блокират изцяло споделени домейни на услуги; използвайте конкретните зловредни пътища.

SHA-256 хешове

Всички хешове са възпроизведени така, както са публикувани. Checkmarx отбелязва, че movinlike може лесно да бъде прекомпилиран, така че специалистите по защита трябва да комбинират проверките на хешовете с доказателства от файлове, задачи и мрежова активност. Подписаният интерпретатор на AutoIt е легитимен софтуер; неговият хеш сам по себе си не доказва инфекция извън контекста на тази кампания.

Хост артефакти и персистентност

Тези пътища и подробности за задачите са документирани в секциите за хост артефакти и персистентност на източника.

Подкрепящи индикатори за атрибуция

Забележка: IP адресите и домейните са нарочно неутрализирани (напр. [.]), за да се предотврати случайното им разпознаване или създаването на хипервръзки. Възстановете ги само в рамките на контролирани платформи за анализ на киберзаплахи като MISP, VirusTotal или вашата SIEM система.

Спира заплахите преди тяхното въздействие с 21 минути по-бързо средно време за отстраняване (MTTR). Интегрирайте изолираната среда (Sandbox) на ANYRUN във вашия SOC