Sinsi Npm Malware, Popüler Ethereum Kütüphanesine Arkadan Giriş Yapıyor

ReversingLabs‘daki güvenlik araştırmacıları, npm paket deposunu hedef alan karmaşık bir zararlı yazılım kampanyası keşfettiler.

Kötü amaçlı paketler olan ethers-provider2 ve ethers-providerz, yaygın olarak kullanılan bir npm paketi olan ethers’i gizlice değiştirerek enfekte sistemlerde bir arka kapı oluşturur. Bu zararlı yazılım, işlev görmek için karmaşık çok aşamalı saldırıları kullanması nedeniyle standart npm zararlı yazılımlarından farklıdır.

Bu paketler, araştırmacıların belirttiği gibi 350 milyondan fazla indirme alan SSH2 paketini çoğaltarak gerçek araçlar olarak sunuluyor. Zararlı yazılım, etherleri gizli bir ters kabuk özelliğini yerleştirecek şekilde dönüştüren daha zararlı bir kod çalarak kendini yükler.

ReversingLabs, Spectra platformunu kullanarak tehdidi tespit etti. Enfeksiyon süreci, ethers-provider2’nin yüklenmesiyle başlar. İndirilen script, tespitini önlemek için uygulandıktan sonra kendini silen ikinci aşama bir zararlı yazılım dosyasını çalıştırır.

Yazılım kötü niyetli yazılım, paketi algılayana kadar ethers’ın varlığını kontrol eder ve ardından provider-jsonrpc.js’yi, gizli kötü niyetli kod içeren sahte bir sürümle değiştirir.

Saldırı burada durmaz. Kötü amaçlı yazılım, ethers-provider2’nin kaldırılmasının ardından enfeksiyonu aktif tutan loader.js adında başka bir dosya oluşturur.

Saldırganlar, saldırılarının üçüncü aşamasında ters kabuk bağlantısı kurarlar, bu da hackerların kompromize olmuş SSH istemcileri aracılığıyla komutları uzaktan çalıştırmalarını sağlar. ReversingLabs, bu yaklaşımı, ek araştırma gerektiren ileri tehdit aktör yeteneklerinin bir kanıtı olarak nitelendirdi.

Araştırmacılar, kodlamasında çok sayıda hata içerdiği için ethers-providerz’ı potansiyel bir test versiyonu olarak belirledi, ancak ilk zararlı paketle aynı deseni izledi.

Güvenlik uzmanları, ethers-providerz’nin ortadan kaldırılmasına rağmen, ethers-provider2’nin raporlama sırasında npm’de erişilebilir olduğunu keşfetti.

Güvenlik uzmanlarına göre, geliştiricilerin, yalnızca güvenilir npm paketlerini kullanırken sistemlerinde enfeksiyon belirtileri olup olmadığını kontrol etmeleri gerekiyor.