Gli Hacker della Corea del Nord attaccano NPM con del Malware

Redazione RHC : 6 Agosto 2024 07:17

Il 7 luglio di quest’anno un utente del repository per sviluppatori npm con il nickname “nagasiren978” ha pubblicato due pacchetti dannosi: “harthat-hash” e “harthat-api”, che contengono codice che installa ulteriore malware dal server C2 degli aggressori. Gli obiettivi principali di questi attacchi erano i sistemi basati su Windows.

I metodi e l’infrastruttura utilizzati nei pacchetti dannosi corrispondono alle tattiche di un gruppo di hacker legato alla RPDC, che Microsoft rintraccia con il nome MOONSTONE SLEET.

All’interno dell’azienda Datadog, che per prima ha scoperto i pacchetti dannosi sopra menzionati, questo cluster di minacce si chiama “Stressed Pungsan”. Questo nome è associato a una razza di cane allevata nella Corea del Nord.

Vuoi diventare un Ethical Hacker?
Non perdere i nostri corsi e scrivi subito su WhatsApp al numero
375 593 1011 per richiedere informazioni dicendo che hai trovato il numero sulle pagine di Red Hot Cyber

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo

L’obiettivo degli hacker era penetrare nelle catene di fornitura del software e negli ambienti degli sviluppatori. Dopo aver ottenuto l’accesso necessario, gli aggressori rubano informazioni personali, API e chiavi di accesso ai servizi cloud e si spostano anche attraverso altri sistemi delle vittime.

Per combattere tali minacce, il team di sicurezza di Datadog ha sviluppato un’infrastruttura di scansione dei pacchetti per PyPi e npm utilizzando il software GuardDog. Durante la scansione del 7 luglio gli specialisti hanno scoperto due pacchetti dal comportamento sospetto.

I pacchetti “harthat-hash” versione 1.3.3 e “harthat-api” versione 1.3.1 utilizzavano script preinstallati per eseguire e quindi eliminare i file “.js”. Tali script contenevano collegamenti a domini sospetti e caricavano file DLL dannose lanciate utilizzando “rundll32.exe”.

Entrambi i pacchetti si sono rivelati quasi identici nel contenuto, differendo solo per il valore del parametro id nei collegamenti al server C2. Il codice dannoso ha scaricato il file “Temp.b”, lo ha rinominato “package.db” e lo ha eseguito tramite “rundll32.exe”. Dopo l’esecuzione, lo script è stato eliminato e il file “package.json” è stato sostituito con “pk.json”, rendendo difficile il rilevamento di attività dannose.

Gli aggressori hanno utilizzato il codice del popolare repository “node-config” e hanno aggiunto alcune modifiche dannose. Vale la pena notare che i pacchetti sono stati rimossi da npm molto rapidamente, non dai moderatori, ma dall’autore stesso.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.