TTL OSINT

УПРАВЛЯЙТЕ РИСКАМИ — НЕ ЖДИТЕ АТАК

Пентест для устойчивости и соответствия требованиям

Реалистичная проверка внешнего периметра: выявляем уязвимости до злоумышленников и подтверждаем готовность вашего бизнеса к киберугрозам.

Протестировать

29.08.2024 77 2 мин.

Годичная кампания вредоносных пакетов npm, нацеленных на пользователей Roblox

В течение года разработчики Roblox были нацелены на вредоносные пакеты NPM, которые имитируют популярную библиотеку "noblox.js". Злоумышленники использовали тактику социальной инженерии, такую как брендджекинг, комбинированный захват и стартовый взлом, чтобы создать иллюзию подлинности своих вредоносных пакетов. Эти пакеты, которые включают в себя такие варианты, как "noblox.js-async" и "noblox.js-api", содержат скрытое вредоносное ПО, которое использует постинсталляционный хук NPM для автоматического запуска при установке. Вредоносная программа ищет токены аутентификации Discord и собирает конфиденциальную информацию из зараженной системы, которая затем отправляется на командный сервер злоумышленника с помощью веб-узла Discord. Заключительный этап атаки включает в себя развертывание QuasarRAT - инструмента удаленного доступа, который предоставляет злоумышленнику широкий контроль над зараженной системой. Злоумышленник поддерживает второе хранилище под названием "noblox-spoof" для распространения вредоносного ПО через другие пакеты, включая новейшие вредоносные пакеты npm, выдающие себя за популярную библиотеку "noblox.js". Разработчикам рекомендуется сохранять бдительность и проверять подлинность пакетов перед внедрением в проекты, чтобы защитить себя и своих пользователей от таких изощренных атак на цепочки поставок.

Отказ от ответственности: Эта статья является частью автоматизированного сборника рекомендаций X-Force OSINT, позволяющего ускорить интеграцию статей с открытым исходным кодом в клиентские среды. Все авторские права принадлежат авторам оригинала.

Ссылка:https://zero.checkmarx.com/year-long-campaign-of-malicious-npm-packages-targeting-roblox-users-9f5bcc8c64c7

Примерные показатели Compromise:

https://github.com/aspdasdksa2/callback/raw/main/cmd.exe
https://discord.com/api/webhooks/1273489016658071624/HWeSPo3qKIbUbqkwiWNoTneHoqo70s5aAYf9NBkAxoICy1SBMezf9ka22Ry59WK1kwYk
https://github.com/aspdasdksa2/callback/raw/main/Client-built.exe

Следите за киберугрозами вместе с экспертами CRATU!
Анализ реальных атак, техники APT-групп, новые уязвимости, практические рекомендации по детекту и доля иронии — всё, как вы любите.

CRATU — ваш инсайдерский источник по кибербезопасности. Подписывайтесь на наш Telegram-канал

Возврат к списку