Nesten 800 ondsinnede npm-pakker dropper install-hooks og ber deg kjøre require() selv

README-filen er hele leveransemekanismen. Den ber utvikleren selv laste pakken med require(), og fordi ingen install-hook kjører, ser den vanligste skanneteknikken mot forsyningskjedeangrep ingenting. The Hacker News omtalte kampanjen 7. august, etter at forskeren Paul McCarty i OpenSourceMalware kartla den.

«Pakkene ser ut til å bruke KI-slop-squattede eller tilfeldig genererte typosquatting-navn, men alle sammen leverer en kraftig RAT og infostjeler.» — Paul McCarty, forsker i OpenSourceMalware

Nedlasteren heter WEL1DROPPER. Den identifiserer operativsystem og prosessorarkitektur og henter en tilpasset nyttelast fra en av tre Cloudflare Workers-verter. Slår HTTPS-nedlastingen feil, bytter den til DNS: pakken ber om en TXT-record under wel1.ru, tolker svaret som et antall biter mellom 1 og 2000, henter dem nummerert, setter dem sammen og Base64-dekoder resultatet til en binærfil. Å blokkere én nedlastingsvert stopper altså ingenting.

Persistensen er ulik per plattform. Windows-varianten patcher Event Tracing for Windows og Antimalware Scan Interface for å forstyrre overvåking, leter etter sandkasser og virtuelle miljøer, og fester seg med både en Registry Run-nøkkel og en planlagt oppgave før den henter en kryptert nyttelast fra /pkg/update_win.exe. macOS-varianten gjør omtrent det samme og bruker en LaunchAgent. Linux-varianten er en UPX-pakket ELF-binær som ender med å installere Sliver, et åpent C2-rammeverk. Alt startes som en frakoblet prosess, så det å drepe npm-installasjonen stopper ikke angrepet.

Pakkene inneholder også en fil kalt lib/telemetry.js som ser ut som en helt vanlig telemetri-SDK, men som har den samme nedlaster-logikken i seg. Filen importeres aldri av pakkens entry point. Ifølge OpenSourceMalware er den overdimensjonerte implementasjonen der for å skape støy og få den ondsinnede oppførselen til å ligne på vanlig profilering ved en rask gjennomlesning.

Kampanjen står ikke alene. Palo Alto Networks Unit 42 dokumenterte samtidig flere andre bølger mot npm og PyPI, blant annet ti npm-pakker som laster ned en obfuskert kryptostjeler fra en ekstern server.

«Nyttelasten implementerer en kryptostjeler og en fjernstyringstrojaner som lar angriperen kjøre vilkårlige kommandoer på den infiserte verten.» — Unit 42, Palo Alto Networks

Hva bør du gjøre?

1. Ikke stol på at hook-skanningen dekker dette. Verktøy som ser etter preinstall og postinstall finner ingenting her, fordi koden først kjører når du selv kaller require().
2. Behandle en truffet maskin som kompromittert, ikke bare avhengigheten. Fjern pakken, let etter Registry Run-nøkler, planlagte oppgaver og LaunchAgents, og rotér nøkler og tokens først etter at maskinen er ryddet.
3. Overvåk utgående DNS fra byggeagenter og CI-runnere. TXT-oppslag mot ukjente domener er hele reserveløsningen i denne kjeden.

Bakgrunn

Sonatype sporer den samme aktiviteten under navnet Flooding Dropper og talte 846 berørte komponenter da de publiserte analysen sin 5. august. Kampanjen regnes som en videreutvikling av Moika, som i april la ut over 250 pakker på npm for å stjele miljøinformasjon og levere en nyttelast tilpasset operativsystemet. Domener som tcsbank.ru og cloudpayments.ru i macOS-nyttelasten tyder på at russiske finansinstitusjoner og mobilbetaling er blant målene.