Злоумышленники троянизировали пакет npm WeaveDB от Arweave для развертывания вредоносного ПО

Злоумышленники внедрили инфостилер в 36 пакетов npm, связанных с экосистемой Arweave. Он нацеливался на учетные данные разработчиков, SSH-ключи и файлы криптокошелька Exodus. Компания безопасности JFrog проследила атаку до скомпрометированного аккаунта maintainer.

Вредоносное ПО называется IronWorm, и оно написано на Rust. Оно активируется в момент установки разработчиком пакета npm. После запуска оно сканирует зараженный компьютер в поисках 86 переменных окружения и 20 файлов с учетными данными, как обнаружила команда исследователей JFrog . Оно охотится за токенами AWS, ключами API Anthropic и OpenAI, учетными данными для аутентификации npm и данными криптокошельков.

Пакеты проекта Arweave содержат скрытое вредоносное ПО на Rust

Злоумышленники скомпрометировали аккаунт npm «asteroiddao», принадлежащий группе GitHub asteroid-dao, которая является частью децентрализованного проекта базы данных Arweave/WeaveDB.

Все пакеты, связанные с аккаунтом «asteroiddao», были переопубликованы в течение короткого времени, причем каждая новая версия содержала файл Linux размером 976 КБ, расположенный в директории tools/.

Файл был настроен на автоматический запуск через preinstall хук в package.json, что означало его запуск до того, как npm начинал установку чего-либо. Все, что нужно было сделать жертве, — это запустить npm install.

Команда JFrog разобрала этот файл и обнаружила, что он был упакован особым образом, чтобы обмануть стандартные инструменты распаковки. Внутри находилась большая программа на Rust, которая хранила свои строки зашифрованными индивидуально, каждая из которых была заблокирована отдельно, что значительно усложняло анализ.

Когда эти строки были наконец декодированы, они раскрыли конечные точки API GitHub, пути к файлам с учетными данными, фальшивые аккаунты ботов, связанные с реальными ID пользователей GitHub, и шаблоны для внедрения вредоносного кода в другие реестры пакетов.

Украденные токены GitHub позволяют вредоносному ПО отправлять коммиты и заражать другие репозитории

Собрав учетные данные, IronWorm использовал их для отправки коммитов в репозитории, к которым у жертвы был доступ. Эти коммиты внедряли тот же вредоносный бинарный файл в другие пакеты, которые затем могли быть опубликованы в npm и скомпрометировать следующего разработчика в цепочке.

JFrog обнаружила 57 задним числом созданные вредоносные коммиты в девяти GitHub организациях. Коммиты использовали имя автора «claude» и адрес электронной почты [email protected]. Временные метки были подделаны так, чтобы соответствовать последнему легитимному коммиту в каждом репозитории. Один из них выглядел так, будто был создан 13 лет назад, хотя логи GitHub Actions подтвердили, что все пуши были сделаны в течение нескольких дней после обнаружения.

Пострадавшие организации включали asteroid-dao, weavedb, ArweaveOasis, а также несколько личных аккаунтов, связанных с разработчиком «ocrybit».

IronWorm также развернул eBPF-руткиит ядра для скрытия на зараженных машинах. Связь с оператором осуществлялась через сеть Tor. Компилятор Rust оставил исходный код руткита в бинарном файле — оперативная ошибка, которая облегчила анализ.

Одной из особенностей является то, что оператор жестко закодировал в вредоносное ПО свою собственную фразу восстановления криптокошелька. JFrog пришла к выводу, что это была мера предосторожности, чтобы предотвратить утечку учетных данных самого атакующего во время тестирования.

Атаки вредоносного ПО продолжают поражать npm

Компания по безопасности приложений Ox Security сообщила, что атака была обнаружена на ранней стадии, прежде чем она успела распространиться на другие пакеты в npm.

Вредоносные версии были помечены как устаревшие в течение дня, а большинство задним число созданных коммитов были удалены с GitHub вскоре после этого.

14 мая хакеры использовали уязвимость в неаккаунте maintainer пакета node-ipc, который скачивали более 822 000 раз в неделю. Эксплуатация была осуществлена путем повторной регистрации истекшего домена электронной почты maintainer и сброса пароля npm. Три скомпрометированные версии содержали payload для кражи учетных данных, нацеленный на более чем 90 категорий секретов разработчиков.

Компании по кибербезопасности Endor Labs и StepSecurity выявили параллельную, но отличную атаку с использованием вредоносного ПО на базе JavaScript под названием binding.gyp, которое выполняло аналогичное отравление реестра и заражение GitHub Actions в тот же период времени.

Разработчикам, установившим любые затронутые пакеты WeaveDB, следует сменить все учетные данные, проверить файлы блокировки на предмет неожиданных изменений версий и включить двухфакторную аутентификацию для аккаунтов на npm и GitHub.