DevTap npm 타이포스쿼팅 공격: 6개의 악성 패키지가 개발자 워크스테이션을 공격합니다

8일 주기의 반복 작업 node-env-resolve 이는 타임라인에서 가장 실질적인 정보를 제공하는 세부 사항입니다.

이는 일회성 배포가 아닙니다. 게시자는 드로퍼를 적극적으로 관리하고 있으며, 이는 일반적으로 다음 두 가지 중 하나를 의미합니다. 광범위한 배포 전에 테스트 환경에서 드로퍼를 최적화하고 있거나, 이미 설치 관련 원격 측정 데이터를 수집하여 이에 대응하고 있다는 것입니다.

나머지 다섯 개 패키지는 최초 게시 이후 사실상 변경 사항이 없었습니다. 이는 엔지니어링 노력이 실제 작업을 수행하는 패키지에 집중되는 동안 지원 클러스터에 대해서는 "한 번 스테이징하고 이름을 그대로 유지"하는 패턴에 부합합니다.

출처: 단서가 부족하고, 확실한 결론은 나지 않았다

공공 영역 OSINT 신호는 미약하므로, 우리는 그것을 늘리려 하지 않을 것입니다. 관찰 가능한 것은 다음과 같습니다.

Gmail 계정 tanvisoul9 남아시아 이름 중 하나인 "탄비"와 부분적으로 유사합니다. 하지만 이는 약한 단서일 뿐입니다. Gmail 아이디는 신원을 나타내는 것이 아니며, 뒤따르는 이름도 마찬가지입니다. soul9 일반적인 정보입니다. 이메일의 지역 번호만으로 지리적 위치를 추론하는 것은 안전하지 않습니다.

코드 스타일은 특별할 것 없습니다. Node.js입니다. standard 라이브러리 호출과 같은 것들 os, child_process, spawn예산 및 reg add코드에는 난독화, 문자열 순환, 디버깅 방지 로직이 없습니다. 작성자는 윈도우 레지스트리 기본 요소와 분리된 자식 프로세스 오케스트레이션에 능숙하지만, 그럴듯하게 사용할 수 있는 더 은밀한 기법을 시도하는 모습은 보이지 않습니다.

필요한 종속성은 모두 시중에서 쉽게 구할 수 있고 잘 알려진 것들입니다. screenshot-desktop, nut-js, better-sqlite3예산 및 socket.io-client사용자 정의 프로토콜도 없고, 처음부터 새로 개발한 C2 스택도 없으며, 교과서에 나오는 것 이상의 새로운 영구 저장 기법도 없습니다. HKCU 실행 키이 사람은 유능한 시스템 통합 전문가이지, 도구 개발자는 아닙니다.

공개된 결과물 내에서 영어 이외의 문자열, 내장된 주석, 로케일 데이터 또는 컴파일러 출력 시간대 정보는 발견되지 않았습니다.

저희는 이미 추적 중인 이전 캠페인과의 코드 중복 여부를 확인했습니다. 여기에는 다음이 포함됩니다. 샤이후루드, 올리비온Buildkite, 그리고 최근의 heibai / claude-code-best Anthropic-CLI 클론 제품군을 찾아보았지만, 공통된 C2 패턴, 파일 레이아웃, 관용구 등에서 공통점을 발견하지 못했습니다.

우리가 절대 말하지 않을 것은 이것이 국가 기관이거나, 알려진 단체이거나, 특정 국가와 지리적으로 연관되어 있다는 것입니다.

운영 프로필은 개발자 워크스테이션 감시를 수행하는 소규모의 중간 수준 숙련도를 가진 팀의 모습과 일치합니다. 접근 권한을 활용한 후속 사용을 통한 금전적 동기가 있을 가능성이 높지만, 별도의 구매자를 위한 정찰 서비스 제공 목적일 수도 있습니다.

두 가지 간접적인 근거가 이를 뒷받침합니다. 첫째, 텔레그램 봇과 같이 클러스터를 빠르게 소모시킬 수 있는 눈길을 끄는 데이터 유출 방식을 피해야 한다는 것입니다. oastify.com또는 카나리 토큰, 그리고 의도적으로 평범한 패키지 이름은 단기간의 대량 설치 급증보다는 꾸준한 장기 설치를 유도합니다.

침해 및 탐지 지표