16 kötü amaçlı NPM paketinden oluşan yeni bir set, internet hız testçileri gibi davranıyor, ancak gerçekte, tehlikeye atılan bilgisayarın kaynaklarını tehdit aktörleri için kripto para birimini çıkarmak için kullanan paraya sahipler.
Paketler, kodlama sürecini hızlandırmak için yazılım geliştiricileri arasında paylaşılan 2,2 milyondan fazla açık kaynaklı JavaScript paketini içeren çevrimiçi bir depo olan NPM'ye yüklendi.
Checkpoint bu paketleri 17 Ocak 2023'te keşfetti ve hepsi "Trendava" adlı bir kullanıcı tarafından NPM'ye yüklendi. Şirketin raporunun ardından NPM ertesi gün onları kaldırdı.
Kripto para madencileri yükleyen on altı kötü niyetli NPM paket:
Çoğu paket internet hız test cihazına benzeyen bir isim içerir, ancak hepsi kripto para madencileridir. Aynı hedefi paylaşmasına rağmen, Checkpoint’in analistleri her paketin görevlerini yerine getirmek için farklı kodlama ve yöntemler kullandığını buldular.
"Bu farklılıkların, hangi versiyonun kötü niyetli paketlerin avcı araçları tarafından tespit edileceğini ve dolayısıyla kötü niyetli niyetlerini gizlemek için farklı yollar denemesini bilmeden, saldırganın yaptığı bir denemeyi temsil ettiğini varsaymak adildir."
"Bu çabanın bir parçası olarak, saldırganın GitLab'daki kötü amaçlı dosyaları barındırdığını gördük. Bazı durumlarda, kötü amaçlı paketler doğrudan kripto havuzlarıyla etkileşime giriyordu ve bazı durumlarda bu ihtiyaç için yürütülebilir dosyalardan yararlanıyor gibi görünüyor."
Örneğin, "SpeedTestspa" paketi GitLab'dan bir yardımcı indirir ve kripto para madenciliği havuzuna bağlanmak için kullanırken, "SpeedTestkas" paketteki kötü amaçlı yardımcı dosyasını içerir.
"SpeedTestBom" paketi, kripto para madenciliği havuzu adresini gizlemeye çalışarak bir adım daha ileri gider, bu nedenle sabit kodlamak yerine, onu almak için harici bir IP'ye bağlanır.
Checkpoint’in raporunda verilen dördüncü örnek, gerçek bir hız testi yardımcı programından kod içeren "SpeedTesto" paketidir ve şüphesiz kullanıcıya vaat edilen işlevselliği sunar.
Yazılım geliştiricileri, projelerine ekledikleri paketlerde kodu dikkatlice inceleyerek bu tedarik zinciri saldırılarına kurban düşme şansını en aza indirebilir.
Ayrıca, sadece saygın kaynaklara ve yayıncılara güvenmek ve kötü niyetli yazım hatası paketleri kurmaktan kaçınmak için isimleri doğrulamak esastır.
Geçen hafta, Phylum araştırmacıları PYPI'da şifre çalan kötü amaçlı yazılım yükleyen 451 kötü amaçlı yazım hatası bulduklarını açıkladılar.
Yeni Pano Koruma Kripto Cüzdan Adreslerinin yerini Lookalikes ile değiştiriyor
451 pypi paketleri kripto çalmak için krom uzantıları yükleyin
Lazarus hackerları çalınan kriptoyu 100 milyon dolarlık gizlemek için yeni mikser kullanıyor
PayPal ve Twitter Türkiye Yardım Bağış Dolandırıcılığında İstismar
Bilgisayar korsanları, bilgi kullanan kötü amaçlı yazılımları zorlamak için sahte kripto iş tekliflerini kullanır
Kaynak: Bleeping Computer