Paket NPM Berbahaya Menargetkan Perusahaan Jerman dalam Serangan Rantai Pasokan

Supply Chain Attack

Peneliti keamanan siber telah menemukan sejumlah paket berbahaya di registri NPM yang secara khusus menargetkan sejumlah perusahaan media, logistik, dan industri terkemuka yang berbasis di Jerman untuk melakukan serangan rantai pasokan.

“Dibandingkan dengan sebagian besar malware yang ditemukan di repositori NPM, muatan ini tampaknya sangat berbahaya: malware yang sangat canggih dan disamarkan yang bertindak sebagai pintu belakang dan memungkinkan penyerang untuk mengambil kendali penuh atas mesin yang terinfeksi,” kata peneliti dari JFrog dalam sebuah laporan baru.

Perusahaan DevOps mengatakan bahwa bukti menunjukkan bahwa itu adalah pekerjaan aktor ancaman yang canggih atau tes penetrasi yang “sangat agresif”.

Semua paket nakal, yang sebagian besar telah dihapus dari repositori, telah dilacak ke empat “pengelola” – bertelsmannnpm, boschnodemodules, stihlnodemodules, dan dbschenkernpm — menunjukkan upaya untuk meniru perusahaan yang sah seperti Bertelsmann, Bosch, Stihl, dan DB Schenker.

Beberapa nama paket dikatakan sangat spesifik, meningkatkan kemungkinan bahwa musuh berhasil mengidentifikasi perpustakaan yang dihosting di repositori internal perusahaan dengan tujuan melakukan serangan kebingungan ketergantungan.

Serangan Rantai Pasokan

Temuan ini didasarkan pada laporan dari Snyk akhir bulan lalu yang merinci salah satu paket yang menyinggung, “gxm-reference-web-auth-server,” mencatat bahwa malware tersebut menargetkan perusahaan tak dikenal yang memiliki paket yang sama di registri pribadi mereka.

“Penyerang kemungkinan memiliki informasi tentang keberadaan paket semacam itu di registri pribadi perusahaan,” kata tim peneliti keamanan Snyk.

Related Post :   5 Manfaat Deteksi sebagai Kode

ReversingLabs, yang secara independen menguatkan peretasan, mengatakan bahwa modul nakal yang diunggah ke NPM menampilkan nomor versi yang lebih tinggi daripada rekan pribadi mereka untuk memaksa modul ke lingkungan target — indikator yang jelas dari serangan kebingungan ketergantungan.

“Paket pribadi yang ditargetkan untuk perusahaan transportasi dan logistik memiliki versi 0.5.69 dan 4.0.48, sedangkan versi publik yang berbahaya diberi nama yang sama, tetapi menggunakan versi 0.5.70 dan 4.0.49,” perusahaan keamanan siber menjelaskan.

Menyebut implan sebagai “pengembangan internal,” JFrog menunjukkan bahwa malware memiliki dua komponen, penetes yang mengirimkan informasi tentang mesin yang terinfeksi ke server telemetri jarak jauh sebelum mendekripsi dan menjalankan pintu belakang JavaScript.

Pintu belakang, meskipun tidak memiliki mekanisme ketekunan, dirancang untuk menerima dan menjalankan perintah yang dikirim dari server perintah-dan-kontrol yang dikodekan dengan keras, mengevaluasi kode JavaScript arbitrer, dan mengunggah file kembali ke server.

“Serangan itu sangat ditargetkan dan bergantung pada informasi orang dalam yang sulit didapat,” kata para peneliti. Tetapi di sisi lain, “nama pengguna yang dibuat di registri NPM tidak mencoba menyembunyikan perusahaan yang ditargetkan.”

Temuan ini muncul saat perusahaan keamanan siber Israel, Check Point, mengungkapkan kampanye pencuri informasi selama berbulan-bulan yang menargetkan industri otomotif Jerman dengan malware komoditas seperti AZORult, BitRAT. dan rakun.


Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan.