Gói NPM bị che giấu độc hại được ngụy trang thành công cụ Ethereum triển khai Quasar RAT
Các nhà nghiên cứu an ninh mạng đã phát hiện ra một gói phần mềm độc hại trên sổ đăng ký gói npm ngụy trang thành một thư viện để phát hiện lỗ hổng trong hợp đồng thông minh Ethereum nhưng thực chất lại thả một trojan truy cập từ xa nguồn mở có tên là Quasar RAT vào hệ thống của nhà phát triển.
Gói được che giấu kỹ lưỡng, có tên là ethereumvulncontracthandler , đã được phát hành trên npm vào ngày 18 tháng 12 năm 2024, bởi một người dùng có tên "solidit-dev-416". Tính đến thời điểm viết bài, gói này vẫn có thể tải xuống. Tính đến nay, gói này đã được tải xuống 66 lần .
"Sau khi cài đặt, nó sẽ lấy một tập lệnh độc hại từ máy chủ từ xa, thực thi tập lệnh này một cách âm thầm để triển khai RAT trên các hệ thống Windows", nhà nghiên cứu bảo mật của Socket Kirill Boychenko cho biết trong một bài phân tích được công bố vào tháng trước.
Mã độc được nhúng vào ethereumvulncontracthandler được che giấu bằng nhiều lớp mã hóa, tận dụng các kỹ thuật như mã hóa Base64 và XOR, cũng như thu nhỏ để chống lại các nỗ lực phân tích và phát hiện.
Phần mềm độc hại này cũng thực hiện các kiểm tra để tránh chạy trong môi trường hộp cát, trước khi hoạt động như một trình tải bằng cách truy xuất và thực thi tải trọng giai đoạn thứ hai từ máy chủ từ xa ("jujuju\[.\]lat"). Tập lệnh được thiết kế để chạy các lệnh PowerShell nhằm khởi tạo quá trình thực thi Quasar RAT.
Về phần mình, trojan truy cập từ xa sẽ thiết lập sự tồn tại thông qua các sửa đổi của Windows Registry và liên hệ với máy chủ chỉ huy và điều khiển (C2) ("captchacdn\[.\]com:7000") để nhận thêm hướng dẫn cho phép nó thu thập và đánh cắp thông tin.
Quasar RAT, lần đầu tiên được phát hành công khai trên GitHub vào tháng 7 năm 2014, đã được nhiều kẻ tấn công sử dụng cho cả tội phạm mạng và các chiến dịch gián điệp mạng trong nhiều năm qua.
Boychenko cho biết: "Kẻ đe dọa cũng sử dụng máy chủ C2 này để lập danh mục các máy bị nhiễm và quản lý nhiều máy chủ bị xâm phạm cùng lúc nếu chiến dịch này là một phần của mạng botnet".
"Ở giai đoạn này, máy tính của nạn nhân đã bị xâm nhập hoàn toàn và bị kẻ tấn công giám sát và kiểm soát hoàn toàn, sẵn sàng kiểm tra thường xuyên và nhận hướng dẫn cập nhật."
Vấn đề về bong bóng của các ngôi sao giả trên GitHub[#](#the-ballooning-problem-of-fake-stars-on-github)
Tiết lộ này được đưa ra trong bối cảnh một nghiên cứu mới do Socket thực hiện cùng với các học giả từ Đại học Carnegie Mellon và Đại học Bang Bắc Carolina đã tiết lộ sự gia tăng nhanh chóng các "ngôi sao" không xác thực được sử dụng để làm tăng mức độ phổ biến của các kho lưu trữ GitHub chứa phần mềm độc hại.
Mặc dù hiện tượng này đã tồn tại trong một thời gian , nghiên cứu phát hiện ra rằng phần lớn các ngôi sao giả được sử dụng để quảng bá các kho phần mềm độc hại tồn tại trong thời gian ngắn dưới dạng phần mềm vi phạm bản quyền, phần mềm gian lận trong trò chơi và bot tiền điện tử.
Được quảng cáo thông qua các nhà buôn sao trên GitHub như Baddhi Shop, BuyGitHub, FollowDeh, R for Rank và Twidium, thị trường chợ đen "công khai" này bị nghi ngờ là nguyên nhân tạo ra tới 4,5 triệu ngôi sao "giả" từ 1,32 triệu tài khoản và trải rộng trên 22.915 kho lưu trữ, cho thấy quy mô của vấn đề.
Baddhi Shop , theo Hacker News , cho phép khách hàng tiềm năng mua 1.000 sao GitHub với giá 110 đô la. "Mua Người theo dõi, Sao, Fork và Người theo dõi GitHub để tăng độ tin cậy và khả năng hiển thị của kho lưu trữ của bạn", một mô tả trên trang web có đoạn. "Sự tham gia thực sự thu hút nhiều nhà phát triển và người đóng góp hơn cho dự án của bạn!"
"Chỉ một số ít kho lưu trữ có chiến dịch sao giả được công bố trong các sổ đăng ký gói như npm và PyPI", các nhà nghiên cứu cho biết . "Thậm chí còn ít hơn nữa được áp dụng rộng rãi. Ít nhất 60% tài khoản tham gia vào các chiến dịch sao giả có các mẫu hoạt động tầm thường".
Do chuỗi cung ứng phần mềm nguồn mở tiếp tục là mục tiêu hấp dẫn cho các cuộc tấn công mạng, những phát hiện này khẳng định lại rằng chỉ riêng số lượng sao là tín hiệu không đáng tin cậy về chất lượng hoặc uy tín và không nên sử dụng mà không xem xét thêm.
Trong một tuyên bố chia sẻ với WIRED vào tháng 10 năm 2023, nền tảng lưu trữ mã thuộc sở hữu của Microsoft cho biết họ đã nhận thức được vấn đề này trong nhiều năm và đang tích cực nỗ lực để loại bỏ các ngôi sao giả khỏi dịch vụ.
Các nhà nghiên cứu cho biết: "Điểm yếu chính của số lượng sao như một thước đo nằm ở chỗ hành động của tất cả người dùng GitHub đều có trọng số như nhau trong định nghĩa của nó".
"Do đó, số lượng sao có thể dễ dàng bị thổi phồng với số lượng lớn tài khoản bot hoặc (có thể nói là danh tiếng thấp) do cộng đồng đóng góp, như chúng tôi đã chỉ ra trong nghiên cứu của mình. Để tránh tình trạng khai thác như vậy, GitHub có thể cân nhắc đưa ra một số liệu có trọng số để báo hiệu mức độ phổ biến của kho lưu trữ (ví dụ: dựa trên các chiều của tính trung tâm của mạng), điều này khó làm giả hơn đáng kể."