Zdjęcie: © Markus Spiske / Unsplash
Źródło: unsplash.com/photos/iar-afB0QQw
Badacze cyberbezpieczeństwa wykryli złośliwy pakiet npm imgdecode, powiązany z kampanią łańcucha dostaw oprogramowania MALFEX. Według analizy SafeDep pakiet ukrywał loader w skompilowanym dodatku Node.js przeznaczonym dla Windows. Został opublikowany 30 września 2026 roku przez użytkownika malfexteste8, a w chwili opisu miał 979 pobrań i nadal był dostępny w rejestrze npm. Najnowsza wskazana wersja to 1.0.3.
Sam pakiet zawierał niewielką warstwę JavaScript, która ładowała bibliotekę DLL. Po uruchomieniu aplikacji na Windows biblioteka próbowała pobrać z GitHuba zaszyfrowany ładunek, odszyfrować go i wstrzyknąć do nowego procesu dllhost.exe. Oznaczało to, że główne działanie złośliwego kodu znajdowało się w natywnym dodatku, a nie w łatwym do przejrzenia kodzie pakietu. Analiza wskazała również, że najnowsza wersja imgdecode nie wymagała już innego pakietu MALFEX, co utrudniało wykrywanie zagrożenia wyłącznie na podstawie listy zależności.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
MALFEX to nazwa nadana długotrwałej kampanii, którą wcześniej opisywały Checkmarx i CloudSEK. Nieznany operator publikuje złośliwe pakiety npm co najmniej od 6 sierpnia 2023 roku, wykorzystując pięć kont wydawców. Spośród ośmiu zidentyfikowanych pakietów trzy pełniły funkcję loaderów dla trojana zdalnego dostępu Overlord RAT. Kolejne trzy współpracowały przy pobieraniu i uruchamianiu stealera napisanego dla Node.js. Osobna ścieżka infekcji korzystała z haka postinstall, który uruchamiał JavaScript kontaktujący się z zewnętrznym serwerem i pobierający kolejny plik binarny.
Z ustaleń badaczy wynika, że operator szybko zastępował usuwane lub publicznie opisane komponenty. W ciągu dwóch dni po ujawnieniu wcześniejszych pakietów pojawiły się ich zamienniki o nazwach runhelper i imgbundle. Tego samego dnia opublikowano pierwszą wersję imgdecode. W odróżnieniu od części wcześniejszego łańcucha, złośliwe działanie nie musiało być uruchamiane przez instalacyjny skrypt. Kod mógł wykonać się dopiero wtedy, gdy aplikacja załadowała konkretny moduł, co zwiększało szansę na przejście niezauważonym przez standardowe kontrole instalacji.
W starszej wersji imgdecode biblioteka DLL korzystała z pliku przygotowanego przez inny komponent kampanii. Od wersji 1.0.1 sama pobierała i odszyfrowywała kolejny ładunek. SafeDep wskazał, że DLL sprawdzała środowisko uruchomieniowe, pobierała plik obrazu z repozytorium GitHub, a następnie przetwarzała ukryte w nim dane. Mechanizm zawierał także warunek pozwalający przerwać działanie po rozpoznaniu określonych sygnatur obrazu, co mogło utrudniać analizę. Choć konto wykorzystane do hostowania plików zostało wyłączone, badacze połączyli analizowany obraz z downloaderem napisanym w Go, używanym do dostarczania stealera Node.js i narzędzia zdalnego dostępu.
Opisany ładunek prowadził kontrole antyanalityczne, sprawdzając między innymi obecność maszyn wirtualnych, piaskownic oraz narzędzi używanych do analizy ruchu i procesów. Według badaczy malware mogło wyszukiwać pliki zawierające frazy odzyskiwania oraz pliki z rozszerzeniami używanymi przy kluczach, certyfikatach i konfiguracji. Zbierane były także dane z przeglądarek opartych na Chromium, komunikatorów, portfeli kryptowalutowych i aplikacji gamingowych. Połączenie z serwerem C2 umożliwiało zdalne wykonywanie operacji na plikach, kontrolę procesów, dostęp do schowka i wykonywanie zrzutów ekranu. Mechanizmy utrzymania dostępu obejmowały wpis w rejestrze Windows oraz zaplanowane zadanie.
Brak komentarzy. Bądź pierwszy!