Recentemente, i ricercatori di PolySwarm hanno documentato diversi casi di sofisticati attacchi informatici di ingegneria sociale contro gli sviluppatori di software. I truffatori utilizzano interviste false per installare malware noto come DevPopper. Questo strumento è un trojan di accesso remoto (RAT) basato su Python in grado di infiltrarsi nei dispositivi in esecuzione su una varietà di sistemi operativi, inclusi Linux, Windows e MacOS.
Gli aggressori si travestono da datori di lavoro che conducono colloqui per posizioni di sviluppatore. Durante i falsi colloqui, ai candidati viene chiesto di eseguire attività tecniche come il download e l’esecuzione di codice da GitHub. Pertanto, le vittime, senza saperlo, scaricano malware sui propri dispositivi, fornendo ai truffatori l’accesso remoto al sistema.
Dopo aver scaricato il file contenente il pacchetto NPM, viene lanciato un file JavaScript crittografato che esegue i comandi “curl” tramite Node.js. Ciò si traduce nel download di un secondo archivio contenente la fase successiva del malware: uno script DevPopper RAT in Python.
DevPopper raccoglie informazioni sul dispositivo come tipo di sistema operativo, nome host e informazioni di rete e invia queste informazioni al server di gestione ( C2 ). Le funzionalità di DevPopper includono la creazione di sessioni di rete, la crittografia dei dati, il supporto di connessioni persistenti per il monitoraggio remoto, la ricerca di file system e il furto di file, l’esecuzione di comandi remoti ( RCE ) per distribuire ulteriori exploit o malware, registrazione degli appunti e registrazione delle sequenze di tasti.
Recentemente Securonix , che è stata la prima a rilevare questa attività dannosa nell’aprile di quest’anno, ha riferito che gli aggressori dietro DevPopper hanno migliorato le loro tecniche e i loro strumenti (TTP). Ora stanno prendendo di mira i dispositivi che eseguono non solo Linux, ma anche Windows e MacOS.
Inoltre, alla campagna sono state aggiunte nuove varianti di malware. Il malware DevPopper aggiornato dispone di funzionalità avanzate, tra cui funzionalità FTP migliorata, supporto per il trasferimento di dati crittografati e la possibilità di rubare credenziali archiviate e cookie di sessione dai browser più diffusi.
Molto probabilmente, questa campagna è opera di hacker nordcoreani, poiché presenta caratteristiche simili ai precedenti attacchi originati dalla RPDC. Gli utenti in Corea del Sud, Nord America, Europa e Medio Oriente sono già diventati vittime.
Per i professionisti IT che lavorano nel settore dello sviluppo software, queste informazioni rappresentano un campanello d’allarme, che sottolinea l’importanza della cautela quando si interagisce online con potenziali datori di lavoro.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Innovazione
Cyber Italia
Cyber News
Cultura
Cultura