Хаос, шок, приватные ключи от не менее приватного GitLab 💻

Последние пару месяцев злоумышленник распространял трояны с нескольких npm-учеток: alex05255, mdrafiqulislamrabby, b.w1001, abdev8773 и mollspotwood54400.

Список пакетов:

• svg-fetcher
• tradepilot
• polytrade
• polymarket-kit
• react-svg-chunk
• gamified-trading-system
• font-huge
• font-hub
• mdb-vite
• router-processor
• route-processor

Код, по классике жанра, навайбкожен. На это указывают избыточные поясняющие комментарии (скриншоты 1 и 2).

Логика пакетов

➡️ Конкатенация URL C2 из нескольких констант.

➡️ Запрос следующего стейджа. Из занятного:

• Нагрузка версионируется и в коде называется token. Нам известны стейджи 106, 107, 108 и 116.

Итоговый URL: http[:]//svganchordev[.]net/icons/<token>

• Код передает в заголовках ключ bearrtoken (орфография сохранена, вероятно, автор имел в виду bearertoken) со значением logo.

Второй стейдж представлен сильно обфусцированным JS-кодом-однострочником (скриншот 3).

Стейдж собирает информацию о системе — имя пользователя, имя компьютера, операционную систему — и посредством веб-сокета продолжает общение, принимая команды на исполнение.

Реализация качественная, с мультистейджами, спору нет. Но это все равно вредоносная активность, поэтому репортим пакеты админам NPM.

В релизах с токенами 106 и 116 есть изюминка, а именно вшитые публичный и приватный ключи GitLab (скриншот 4).

Мы не можем воспользоваться этими ключами: они относятся к приватному инстансу GitLab, развернутому в инфраструктуре злоумышленника.

Однако интересно, что кампания ведется на настолько серьезном уровне, что злоумышленнику потребовалось версионирование кода, хотя можно было бы использовать Git локально. Можно предположить, что в GitLab настроен CI/CD-пайплайн для обфускации кода и публикации стейджей.

Хотите автоматически проверять, попали ли эти и другие вредоносные пакеты в ваш контур? Вам сюда: фиды для безопасной разработки из PT Fusion.

#npm #scs
@channel_escalator