TTL OSINT

Вредоносная кампания NuGet использует гомоглифы и переплетение символов, чтобы обмануть разработчиков

С августа 2023 года ReversingLabs отслеживает вредоносную кампанию, направленную против менеджера пакетов NuGet, в ходе которой злоумышленники используют гомоглифы и переплетения IL, чтобы выдавать себя за защищенные префиксы NuGet и внедрять вредоносный код в законные пакеты NuGet. Кампания эволюционировала от использования интеграции Nuget с MSBuild к использованию простых, запутанных загрузчиков, вставляемых в законные двоичные файлы PE с использованием IL weaving. Вредоносные пакеты разработаны таким образом, чтобы выглядеть как можно более достоверными, с помощью подходящих пакетов для олицетворения, умных исправлений опечаток и значков из олицетворенных пакетов. Недавно в кампании начали использовать IL weaving для исправления скомпилированных двоичных файлов .NET, что усложняет обнаружение. Исправленные двоичные файлы реализуют функциональность загрузчика, который извлекает вредоносное ПО второго этапа с сервера C2, контролируемого злоумышленником. Кампания подчеркивает постоянное совершенствование методов злоумышленников и их решимость внедрить вредоносное ПО в репозиторий NuGet.

Отказ от ответственности: Эта статья является частью автоматизированного сборника рекомендаций X-Force OSINT, предназначенного для более быстрой интеграции статей с открытым исходным кодом в клиентские среды. Все авторские права принадлежат авторам оригинала.

Ссылка:https://www.reversinglabs.com/blog/malicious-nuget-campaign-uses-homoglyphs-and-il-weaving-to-fool-devs

Выборочные показатели Compromise:

• 8a7558650aa62cd59feaa4abc857421771a73fca
• harmonyx.net
• 1017cb51833b46ec8506c85eb573094ca57fad78
• f980768e0add46614cf0d1c0275b78ca7f41570e
• 9291c1596839620c692f0b12f3576f938934f5f9

Следите за киберугрозами вместе с экспертами CRATU!
Анализ реальных атак, техники APT-групп, новые уязвимости, практические рекомендации по детекту и доля иронии — всё, как вы любите.

CRATU — ваш инсайдерский источник по кибербезопасности. Подписывайтесь на наш Telegram-канал