Npm kayıt defterindeki meşru yazılım projelerini taklit eden on kötü amaçlı paket, Windows, Linux ve macOS sistemlerinden hassas veriler toplayan, bilgi çalan bir bileşen indirir.
Paketler 4 Temmuz'da npm'ye yüklendi ve standart statik analiz mekanizmalarından kaçmaya yardımcı olan çok sayıda gizleme katmanı nedeniyle uzun süre tespit edilmeden kaldı.
Siber güvenlik şirketi Socket'deki araştırmacılara göre, on paket yaklaşık 10.000 indirme saydı ve sistem anahtarlıklarından, tarayıcılardan ve kimlik doğrulama hizmetlerinden kimlik bilgilerini çaldı.
Bu yazının yazıldığı sırada, Socket bunları npm'ye bildirmesine rağmen paketler hala mevcuttur:
Soket araştırmacıları, paketlerin yasal görünmek ve PyInstaller ile paketlenmiş 24 MB'lık bir bilgi hırsızını indirmek için sahte bir CAPTCHA sorgulaması kullandığını söylüyor.
Tehdit aktörü, kullanıcıları cezbetmek için TypeScript (JavaScript'in üst kümesi), discord.js (Discord bot kitaplığı), eters.js (Ethereum JS kitaplığı), nodemon (Node uygulamalarını otomatik olarak yeniden başlatır), react-router-dom (React tarayıcı yönlendiricisi) ve zustand (minimum React durum yöneticisi) için meşru adların yanlış yazımlarından veya varyasyonlarından yararlanan bir taktik olan yazım hatası kullandı.
Geliştiriciler, npm platformunda meşru paketleri ararken meşru paketin adını yanlış yazabilir veya sonuçlarda listelenen kötü amaçlı bir paketi seçebilir.
Kurulumun ardından, ana bilgisayarın algılanan işletim sistemiyle eşleşen yeni bir terminal oluşturmak için otomatik olarak bir 'kurulum sonrası' komut dosyası tetiklenir. Betik, 'app.js'yi görünür yükleme günlüğünün dışında çalıştırır ve tespit edilmekten kaçınmak için pencereyi hemen temizler.
"app.js" dosyası, dört gizleme katmanı kullanan kötü amaçlı yazılım yükleyicisidir: kendi kendini çözen değerlendirme sarmalayıcı, dinamik olarak oluşturulan anahtarla XOR şifre çözme, URL kodlu veri ve yoğun kontrol akışı gizleme.
Komut dosyası, kurulum sürecine sahte meşruiyet kazandırmak için ASCII kullanarak terminalde sahte bir CAPTCHA görüntüler.
Daha sonra kurbanın coğrafi konumunu ve sistem parmak izi bilgilerini saldırganın komuta ve kontrol (C2) sunucusuna gönderir. Bu bilgiyi alan kötü amaçlı yazılım, harici bir kaynaktan, 24 MB PyInstaller paketli yürütülebilir dosya olan platforma özel bir ikili dosyayı indirir ve otomatik olarak başlatır.
Bilgi hırsızı, Windows Kimlik Bilgisi Yöneticisi, macOS Anahtar Zinciri, Linux SecretService, libsecret ve KWallet gibi sistem anahtarlıklarının yanı sıra profiller, kayıtlı şifreler ve oturum çerezleri dahil olmak üzere Chromium tabanlı ve Firefox tarayıcılarında depolanan verileri hedefler.
Ayrıca, ortak dizinlerde SSH anahtarlarını arar ve ayrıca OAuth, JWT ve diğer API belirteçlerini bulup çalmaya çalışır.
Çalınan bilgiler sıkıştırılmış arşivlerde paketlenir ve /var/tmp veya /usr/tmp dosyasındaki geçici bir hazırlama adımının ardından saldırganın 195[.]133[.]79[.]43 adresindeki sunucusuna sızdırılır.
Listelenen paketlerden herhangi birini indiren geliştiricilerin, bulaşmayı temizlemeleri ve tüm erişim jetonları ile şifreleri dönüşümlü olarak kullanmaları önerilir çünkü bunların ele geçirilme olasılığı yüksektir.
Paketleri npm veya diğer açık kaynak dizinlerden alırken, yazım hatalarını tekrar kontrol etmeniz ve her şeyin saygın yayıncılardan ve resmi depolardan geldiğinden emin olmanız önerilir.
Ortamların %46'sında şifreler kırıldı; bu oran geçen yılki %25'ten neredeyse iki katına çıktı.
Önleme, tespit ve veri hırsızlığı eğilimlerine ilişkin daha fazla bulguya kapsamlı bir bakış için Picus Blue Report 2025'i hemen edinin.
PhantomRaven saldırısı npm'yi kimlik bilgileri çalan paketlerle dolduruyor
Bilgisayar korsanları RedTiger tabanlı bilgi hırsızı ile Discord hesaplarını çaldı
Vidar Stealer 2.0, çok iş parçacıklı veri hırsızlığı ve daha iyi veri kaçırma özelliği sunuyor
Kendi kendine yayılan GlassWorm kötü amaçlı yazılımı OpenVSX ve VS Code kayıt defterlerine saldırıyor
Sahte Homebrew ve LogMeIn sitelerine yönelik Google reklamları bilgi hırsızlarını harekete geçiriyor
Kaynak: Bleeping Computer