Tha pacaidean npm droch-rùnach a chaidh an lorg o chionn ghoirid a’ leigeil orra gur iad luchd-cuideachaidh aghaidh neo-chiontach ach tha còd falaichte droch-rùnach annta.
An Sgioba Rannsachaidh Tèarainteachd aig Xigin air a dhearbhadh gu bheil na pacaidean npm seo: 'react-ui-notify', 'react-tmedia', 'react-ui-animates', 'react-medias', 'react-mandes' nan toraidhean atharraichte de 'clàradair bingo', forc droch-rùnach fhèin a tha ag atharrais air structar agus sgrìobhainnean a’ phacaid logaidh mòr-chòrdte pìob gus am bi e coltach gu bheil e dligheach. Tha an còmhdach sin air a chleachdadh gus earbsa luchd-leasachaidh a chleachdadh agus luchdachadh sìos a thàladh. Gu dearbh, tha faidhle neo-cheangailte falaichte anns a’ bhunait-chòd a bhios a’ ruith ann an àrainneachdan Node.
Eachdraidh an Neach-bagairt: Iomairt an “Agallamh Gabhaltach”
Tha Iomairt Agallaimh Gabhaltach tha e co-cheangailte ris a’ chruinneachadh bagairt ris an canar 'UNC4034', a tha ag aithris cheanglaichean ri cleasaichean ceangailte ri Corea a Tuath Buidheann Lazarus or APT38, buidheann ainmeil le taic bhon stàit a tha ceangailte ri riaghaltas Corea a Tuath. Tha eachdraidh aig na cleasaichean bagairt air cùl na h-iomairt seo de bhith ag amas air luchd-leasachaidh tro eag-shiostaman stòr fosgailte, a’ sgaoileadh phasganan coltach ri chèile a bhios a’ ruith luchdan falaichte. Mu dheireadh, a’ goid dàta co-cheangailte ri crypto, còd tùsail agus teisteanasan bho shiostaman gabhaltach.
Tha innleachdan, dòighean-obrach agus modhan-obrach Tha (TTPan) a chithear anns na pacaidean npm seo a’ leantainn an aon phàtran:
- Dèan atharrais air ainmean phròiseactan a tha a’ fuaimeachadh dligheach gus am bi iad a’ coimhead earbsach.
- Cuir còd doilleir a-steach do fhaidhlichean deuchainn agus sgriobtaichean taice.
- Ruith luchdan falaichte a bhios a’ tional dàta mothachail agus ga chur gu frithealaiche àithne is smachd (C2) iomallach.
Toraidhean teicnigeach: Mion-sgrùdadh Luchd-pàighidh Doilleir
An luchd a lorgar a-staigh '/deuchainn/innealan/meas/modalan_nòd/deuchainn.liosta' a’ cleachdadh JavaScript doilleir (lorg sreangan clàr-amais/sreath, blocaichean còdaichte) gus sreangan a ghabhas leughadh fhalach agus thèid sruth smachd a chur an gnìomh aon uair ‘s gu bheil am pasgan air a stàladh air sgàth an sgriobt iar-stàlaidh deuchainn ruith npm || tar-chur npm || ruith npm leum'taobh a-staigh an pasgan.json.
Nochd ar mion-sgrùdadh gu bheil pìos malware atharrachail sna pacaidean seo a chaidh a thogail gus gluasad thar shiostaman obrachaidh (Windows, macOS, no Linux) agus àrainneachdan luchd-cleachdaidh. Comas a tha a’ moladh fòcas a dh’aona ghnothach air luchd-cleachdaidh teicnigeach a bhios gu tric ag obair thar diofar àrainneachdan.
Aon uair ‘s gu bheil e air a stèidheachadh air siostam, bidh an malware a’ sgrùdadh na tha timcheall air, a’ cruinneachadh fiosrachadh mionaideach mun t-siostam Leithid ainm aoigheachd, àrd-chabhsair, eòlaire dachaigh agus eòlaire tmp an t-siostaim mus leudaich e a ruigsinneachd gu aplacaidean a bhios a’ stòradh dàta mothachail leithid brabhsairean (Chrome/Brave/Edge/Opera) agus wallets didseatachBidh e a’ sgrùdadh àiteachan cumanta gu ath-chuairteach airson pròifilean brobhsair, faidhlichean wallet, iuchraichean-iuchrach agus mòran sheòrsaichean sgrìobhainnean/faidhlichean. Tha prìomh fhaclan rannsachaidh a’ toirt a-steach wallet, teirmean co-cheangailte ri sìol agus mòran leudachaidhean faidhle a tha dualtach teisteanasan no dìomhaireachdan a bhith annta (*.env, *.key, *.wallet, *.json, *.txt, *.doc, etc..). Tha liostaichean eisgeachd ann airson clàran-stiùiridh cumanta gus faidhlichean siostaim follaiseach a sheachnadh.
Bidh an luchd-pàighidh a’ sgrìobhadh comharra/faidhle glasaidh ionadail gus casg a chuir air iomadh ruith aig an aon àm agus a’ sgrìobhadh an dàta aige taobh a-staigh eòlairean sealach an t-siostaim obrachaidh gus nach tèid a lorg.
Tha an luchd falaichte cuideachd a’ toirt a-steach seanal conaltraidh gu frithealaiche iomallach a bhios ag obair mar ionad àithne is smachd. Troimhe seo, faodaidh e fiosrachadh a chaidh a ghoid a thoirt a-mach agus faigh tuilleadh stiùiridhGed a tha coltas gu bheil am bun-structar fhèin cuibhrichte agus air a thogail a dh’aona ghnothach, tha a làthaireachd a’ dearbhadh rùn an ionnsaighiche smachd leantainneach a chumail air siostaman gabhaltach.
Nuair a lorgas am malware dàta mothachail, bidh e gan cruinneachadh agus a’ feuchainn ri an luchdachadh suas gu ceann-uidhe iomallach air frithealaiche sgòthan a’ cleachdadh dàta ioma-phàirteach/foirm gus am bi faidhlichean a chaidh a ghoid ceangailte ri iarrtasan.
Comharran Co-rèiteachaidh agus Molaidhean Maothachaidh
Thathar a’ comhairleachadh bhuidhnean na h-eisimeileachdan droch-rùnach seo a thoirt air falbh (react-ui-notify, react-tmedia, react-ui-beothaich, react-medias, react-mandes, bingo-logger) agus ùraich na h-àrainneachdan seo gus dèanamh cinnteach à ionracas. Bu chòir teisteanasan agus comharran ruigsinneachd siostaman a dh’ fhaodadh a bhith air am foillseachadh a bhith air an cuairteachadh sa bhad.
Bu chòir do rianairean lìonra trafaic a-mach a chuingealachadh ris na IPan sin 23.227.202.24, 131.153.22.25 agus ath-sgrùdadh a dhèanamh air ceanglaichean o chionn ghoirid airson ana-cainnt. Thathas a’ moladh gu làidir àrainneachdan air a bheil buaidh ath-thogail bho thùsan dearbhte, glan gus casg a chuir air ath-ghalair agus gus dèanamh cinnteach à ionracas slabhraidh solair.
Co-theacs nas fharsainge
Gu h-iomlan, tha na pacaidean seo nan eisimpleir eile leis an ìre ùr de aibidh ann an ionnsaighean slabhraidh solair stèidhichte air JavaScript, tha nàimhdean a’ sìor fhàs a’ cruthachadh phasganan coltach ri chèile a bhios ag iasad structar agus sgrìobhainnean bho phròiseactan earbsach, leudachadh modúlach agus a’ gabhail ri dòighean nas fheàrr gus lorg agus lughdachadh a dhèanamh na dhùbhlan.
Tha an mean-fhàs seo a’ meudachadh coltachd stàladh gun fhiosta le luchd-leasachaidh gun dùil agus a’ toirt cothrom nas doimhne do luchd-dùbhlain air àrainneachdan togail, CI/CD siostaman agus stòran còd tùsail.
Tha eag-shiostaman stòr fosgailte air a bhith nan àrd-ùrlar sgaoilidh as fheàrr leotha airson iomairtean mar sin. Le bhith a’ cleachdadh an earbsa nàdarra a tha luchd-leasachaidh a’ cur ann am pasganan coimhearsnachd, faodaidh luchd-ionnsaigh a dhol a-steach don t-sèine solair bathar-bog le glè bheag de dh’ oidhirp agus gu tric gun lorg no buaidh sa bhad.
Rabhadh Tràth Malware (MEW) le Xygeni
Chaidh an tachartas seo aithneachadh an toiseach tro Xygeni's Rabhadh tràth mu dhroch-bhathar siostam, a bhios a’ cumail sùil leantainneach air clàran phasgan stòr fosgailte leithid npm, PyPI, Maven airson pacaidean droch-rùnach.
Chomharraich an t-inneal lorg againn na pacaidean seo gu fèin-ghluasadach mar amharasach air sgàth an structair neo-àbhaisteach, an sgriobt iar-stàlaidh agus an luchd doilleir. Mar thoradh air an sin, tha na pacaidean droch-rùnach (react-ui-notify, react-tmedia, react-ui-animates, react-medias, agus react-mandes) a dhearbhadh mar dhroch-rùnach leis an sgioba tèarainteachd againn agus chaidh aithris a thoirt do npm mus b’ urrainn dhaibh ruighinn air gabhail nas fharsainge.
Mar a dhìonas Xygeni Early Warning thu pipelines
- Lorg bagairt fìor-ùineBidh e a’ sganadh gach pasgan ùr no ùraichte sa ghraf eisimeileachd agad agus a’ comharrachadh giùlan amharasach leithid gairmean siostam OS, cur an gnìomh àithne, còd doilleir, typosquatting am measg mòran eile.
- Rabhaidhean sa bhadCuiridh seo fios chun na sgiobaidhean tèarainteachd is DevOps agad ann an Slack, Jira, no post-d cho luath ‘s a nochdas bagairt ùr san àrainneachd agad.
- Leigheas aon-bhriogA’ gineadh pull requests a bheir air falbh no a chuireas dreachan eisimeileachd so-leònte nan àite thar do phròiseactan.
- Eag-shiostaman le taic: An-dràsta a’ gabhail a-steach npm, PyPI, Maven agus Packagist.
- Cuidichidh Xygeni thu gus fuireach air thoiseach air ionnsaighean slabhraidh solair le bhith a’ glacadh phasganan droch-rùnach aig an ìre as tràithe, mus ruig iad do thogail.
???? Feuch Xygeni Malware Early Warning an-asgaidh agus faic dè cho luath ‘s as urrainn dhut bagairtean slabhraidh solair a lorg agus a neodachadh leat fhèin pipelines.
