В NuGet вычистили вредоноса, за два месяца он мог выстрелить 170 000 раз

Татьяна Никитина 21 Марта 2023 - 20:06

...

В NuGet вычистили вредоноса, за два месяца он мог выстрелить 170 000 раз

Исследователи из JFrog обнаружили новую атаку на цепочку поставок. В каталоге NuGet были найдены 13 вредоносных пакетов, за которыми на момент удаления суммарно числилось около 170 тыс. загрузок.

Вредоносные модули для .NET-проектов были опубликованы в период с 3 января по 12 марта. Чтобы ввести в заблуждение разработчиков софта, злоумышленники использовали тайпсквоттинг.

Наибольшее количество загрузок собрали фейки Coinbase.Core (> 120 тыс.), Anarchy.Wrapper.Net (> 30 тыс.) и DiscordRichPresence.API (> 14 тыс.). Эксперты не исключают, что счет был искусственно вздут с помощью ботов, чтобы усилить иллюзию легитимности.

Вредоносная начинка во всех случаях одинакова: это PowerShell-сценарий, автоматически исполняемый при установке пакета. Скрипт изменяет системные настройки, чтобы снять ограничения на запуск PowerShell, и загружает с удаленного сервера целевой пейлоад — исполняемый файл Windows.

Анализ показал, что это кастомный зловред, умеющий воровать криптовалюту (выводит содержимое кошельков с помощью вебхуков Discord), извлекать и запускать коды из архивов Electron, а также получать с C2 обновления. Уровень детектирования вредоноса очень низкий, штатная защита Windows — Microsoft Defender — его тоже не обнаруживает.

Проведение атаки облегчило наличие в устаревших версиях Visual Studio опции, позволяющей внести вредоносный PowerShell в папку tools пакета NuGet: это обеспечило скрипту автозапуск при определенных событиях — в данном случае при установке модуля. Более новые версии Visual Studio игнорируют install.ps1 и uninstall.ps1, но допускают беспрепятственный запуск init.ps1, и даже не выводят предупреждение.

Подобные механизмы автозапуска, по словам экспертов, являются основной причиной большого количества злоупотреблений в экосистемах NPM и PyPI. На NuGet.org такого разгула до сих пор не наблюдалось.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Татьяна Никитина 23 Мая 2025 - 14:14

Ботнет Трояны Домашние пользователи

Операторы трояна DanaBot иногда по ошибке заражали собственные компьютеры

В Лос-Анджелесе оглашены обвинения, выдвинутые по делу о создании и распространении Windows-трояна DanaBot. Среди 16 ответчиков числятся Александр Степанов (JimmBee) и Артем Калинкин (Onix) из Новосибирска.

Обоим россиянам, которые пока не пойманы, инкриминируются преступный сговор, а также получение несанкционированного доступа к компьютерам с целью кражи информации и совершения мошеннических действий.

Всех фигурантов удалось выявить благодаря конфискации C2-серверов и хранилищ данных, украденных DanaBot. Их изучение показало, что многофункциональный зловред воровал также учетки своих разработчиков и операторов: первые заражали собственные машины с целю тестирования, вторые — по ошибке.

Троян DanaBot известен ИБ-сообществу с 2018 года. Созданный на его основе ботнет предоставлялся в пользование по модели MaaS (Malware-as-a-Service, вредонос как услуга); ФБР удалось выявить не менее 40 аффилиатов криминального сервиса.

Согласно материалам дела, клиенты MaaS суммарно заразили свыше 300 тыс. компьютеров, совокупный ущерб жертв превысил $50 миллионов. В ESET за шесть лет наблюдений обнаружили более C2-серверов DanaBot; наибольшее количество заражений зафиксировано в Польше.

Агенты ФБР также раздобыли свидетельства использования трояна для шпионажа. Вторая версия зловреда регистрировала все действия жертв на компьютерах и применялась в атаках на дипломатов, силовиков и военных США, Великобритании, Германии, Белоруссии и России.

Центры управления DanaBot v2 были нейтрализованы в ходе очередного этапа операции Endgame. Службе криминальных расследований Минобороны США (Defense Criminal Investigative Service, DCIS) удалось установить контроль над десятками виртуальных серверов; в настоящее время проводятся работы по оповещению жертв заражения и оказанию помощи в дезинфекции.

Кроме ФБР и DCIS, в расследовании криминальной деятельности, связанной с DanaBot, принимали участие спецподразделения полиции Германии, Нидерландов и Австралии. Экспертную поддержку силовикам оказали ESET, Crowdstrike, Intel 471, Proofpoint, ZScaler и Team CYMRU.

Новые карательные меры в рамках Operation Endgame были приняты в период с 19 по 22 мая. По данным Европола, правоохране удалось обезвредить около 300 вредоносных серверов и 650 доменов, а также получить 20 ордеров на арест подозреваемых.

Трансграничная операция имела целью разгром инфраструктуры следующих зловредов: