В NuGet вычистили вредоноса, за два месяца он мог выстрелить 170 000 раз

В NuGet вычистили вредоноса, за два месяца он мог выстрелить 170 000 раз

Исследователи из JFrog обнаружили новую атаку на цепочку поставок. В каталоге NuGet были найдены 13 вредоносных пакетов, за которыми на момент удаления суммарно числилось около 170 тыс. загрузок.

Вредоносные модули для .NET-проектов были опубликованы в период с 3 января по 12 марта. Чтобы ввести в заблуждение разработчиков софта, злоумышленники использовали тайпсквоттинг.

Наибольшее количество загрузок собрали фейки Coinbase.Core (> 120 тыс.), Anarchy.Wrapper.Net (> 30 тыс.) и DiscordRichPresence.API (> 14 тыс.). Эксперты не исключают, что счет был искусственно вздут с помощью ботов, чтобы усилить иллюзию легитимности.

Вредоносная начинка во всех случаях одинакова: это PowerShell-сценарий, автоматически исполняемый при установке пакета. Скрипт изменяет системные настройки, чтобы снять ограничения на запуск PowerShell, и загружает с удаленного сервера целевой пейлоад — исполняемый файл Windows.

Анализ показал, что это кастомный зловред, умеющий воровать криптовалюту (выводит содержимое кошельков с помощью вебхуков Discord), извлекать и запускать коды из архивов Electron, а также получать с C2 обновления. Уровень детектирования вредоноса очень низкий, штатная защита Windows — Microsoft Defender — его тоже не обнаруживает.

Проведение атаки облегчило наличие в устаревших версиях Visual Studio опции, позволяющей внести вредоносный PowerShell в папку tools пакета NuGet: это обеспечило скрипту автозапуск при определенных событиях — в данном случае при установке модуля. Более новые версии Visual Studio игнорируют install.ps1 и uninstall.ps1, но допускают беспрепятственный запуск init.ps1, и даже не выводят предупреждение.

Подобные механизмы автозапуска, по словам экспертов, являются основной причиной большого количества злоупотреблений в экосистемах NPM и PyPI. На NuGet.org такого разгула до сих пор не наблюдалось.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Шпионы Shedding Zmiy проникли в десятки российских организаций

По данным ГК «Солар», нацеленная на шпионаж APT-группа с условным именем Shedding Zmiy объявилась в России в 2022 году. На ее счету уже несколько десятков атак на госструктуры, промпредприятия, телеком-сети и другие объекты критической важности.

Обнаружив в ходе анализа бэкдор CobInt, эксперты предположили, что автор целевых атак — группировка Cobalt (это ее «фирменный» инструмент). Однако расследование показало, что это не так: взломщики не искали финансовой выгоды, они воровали данные с тем, чтобы использовать их в дальнейших атаках или слить в Telegram.

Обширный набор инструментов и техник позволяет Shedding Zmiy каждый раз менять тактику. Кибершпионы также подняли множество C2-серверов на территории России, воспользовавшись услугами облачных и хостинг-провайдеров, что помогает им обходить блокировки по GeoIP.

В атаках применяются и выложенные в паблик зловреды, и спецразработки под конкретные цели (загрузчики, бэкдоры, веб-шеллы). Для хранения вредоносного кода иногда используются взломанные серверы.

В арсенале Shedding Zmiy исследователи суммарно насчитали 35 инструментов разного назначения и 20 используемых уязвимостей — в основном хорошо известных, таких как Log4Shell, ProxyShell и PrintNightmare .

Один эксплойт оказался редким и замысловатым. Соответствующую уязвимость в ASP.NET (десериализация ненадежных данных в параметре VIEWSTATE) разработчики Microsoft пытались устранить еще десять лет назад, но затем оставили эту затею — в «Солар» полагают, из-за сложности использования лазейки.

«В процессе расследований мы нашли как знакомые по деятельности группы Cobalt вредоносные инструменты, так и не встречавшиеся ранее уникальные образцы ВПО, в частности, бэкдор Bulldog и загрузчик XDHijack, — отметил эксперт из команды Solar 4RAYS Антон Каргин. — Кроме того, группировка разработала целый фреймворк для эксплуатации уязвимости десериализации VIEWSTATE. Всё это говорит о высоком профессионализме злоумышленников и немалых ресурсах».

Участники Shedding Zmiy также активно используют элементы социальной инженерии. Так, в ходе одной из атак они создали в Telegram поддельный аккаунт ИБ-специалиста целевой компании и от его имени выманили у сотрудника учетные данные для доступа к внутренних хостам.

В другом случае злоумышленники сыграли на доверии между компаниями-партнерами (атака типа Trusted Relationship): взломав сеть телеком-провайдера, разослали от его имени десятки вредоносных писем в другие организации.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru