Lazarus Group Hack Crypto Developer, die Hintertoors in NPM -Repositories erstellen

Die

Lazarus -Gruppe, Hacker aus Nordkorea, erstellte eine neue Kampagne, die Kryptoentwickler über NPM -Repositories abzielte. Sie stellten 6 Repositories ein, die Kryptoentwickler ansprechen und Malware hinzugefügt wurden, Hintertoors zu erstellen, Projekte zu infiltrieren und Anmeldeinformationen zu stehlen. 

Die Hacking -Gruppe würde Beavertail, ein Malware -Paket, verwenden, um eine versteckte Datei im Zielsystem auszuführen. Die Malware würde dann Anmeldeinformationen stehlen, indem er auf Browserdateien zugreift und nach Dateien gesucht wird, die sich auf Kryptowährungsbrieftaschen wie Exodus beziehen. Die gestohlenen Daten würden dann an einen Befehl und einen Kontrollzentrum gesendet, damit die Hacker leicht auf die sensiblen Dateien zugreifen können.

„diesen Angriff zuzuschreiben“, schrieb Kirill Boychenko, Socket Seniority Analyst, „definitiv an Lazarus oder eine anspruchsvolle Nachahmer nach wie vor eine Herausforderung, da die absolute Zuschreibung von Natur aus schwierig ist. Die in diesem NPM -Angriff beobachteten Taktiken, Techniken und Verfahren (TTPs), die in engeren Angriffe von Lazarus beobachtet wurden, sind jedoch ausführlich von Forschern aus Unit42, Esentire, Datadog, Phylum und anderen dokumentiert, seit 2022 ”.

Die NPM -Repositorys basierten auf tatsächlichen Bibliotheken, verwendeten jedoch Tippfehler und ähnliche Schreibweise, um beliebte Pakete nachzuahmen und Entwickler zu trickten, um sie zu installieren. Die böswilligen Pakete wurden über 300 Mal heruntergeladen und zeigten die Reichweite des Angriffs. 

Die sechs böswilligen Pakete umfassen:

IS-Buffer-Validator-Mimics IS-Puffer Library, stiehlt Anmeldeinformationen.

Yoojae-Validator-gefälschter Validator, stiehlt sensible Daten.

Event-Griff-Package-gibt vor, ein Event-Handling-Tool zu sein, installiert jedoch eine Hintertür für den Remote-Zugriff.

Array-Tempy-Validator-Sammelt Browser- und Systemanmeldeinformationen.

React-Event-Abhängigkeit-gibt vor, ein React-Dienstprogramm zu sein, beeinträchtigt jedoch Entwicklerumgebungen.

Auth-Validator-stiehlt Login- und API-Anmeldeinformationen.

„The Apt Group“, schrieb Boychenko, „erstellte und pflegte Github -Repositories für fünf der böswilligen Pakete, wodurch ein Erscheinungsbild von Open -Source -Legitimität verleiht und die Wahrscheinlichkeit des schädlichen Code erhöht wird, der in Entwickler -Workflows integriert wird“.

Die Malware wurde entwickelt, um Systeminformationen wie Betriebssystem, Systemverzeichnisse und Hostname zu sammeln und diesen Angriff für Hunderte von NPM -Benutzern bereitzustellen. 

„Es iteriert systematisch durch Browserprofile“, schrieb Boychenko, „um vertrauliche Dateien wie Anmeldedaten aus Chrome, Brave und Firefox sowie Keychain -Archiven auf MacOS zu lokalisieren und zu extrahieren. Bemerkenswerterweise zielt die Malware auch Kryptowährungsbrieftaschen ab und extrahiert speziell ID.json aus Solana und Exodus.wallet aus dem Exodus “.

Dieser Angriff ist Teil der breiteren Strategie der Lazarus Group, um Lieferketten zu stören. Die NPM -Malware ermöglicht es ihnen, Entwickler, einen wesentlichen Bestandteil der globalen Lieferkette, anzusprechen und sich in Systeme, Entwicklungsumgebungen und Kryptoadressen einzubetten, um ihre Angriffe zu fördern. Ähnliche Methoden wurden verwendet, um die PIP -Pakete von Github und Python abzuzielen. 

„kontinuierliche Überwachung ungewöhnlicher Abhängigkeitsänderungen“, schrieb Boychenko, „kann böswillige Updates aufdecken und gleichzeitig ausgehende Verbindungen an bekannte C2 -Endpunkte verhindern, die Daten -Exfiltration verhindert. Sandboxing nicht vertrauenswürdiger Code in kontrollierten Umgebungen und Bereitstellung des Endpunktschutzes kann verdächtiges Dateisystem oder Netzwerkaktivitäten erkennen. “ 

boychenko erhöht einen kritischen Punkt, da Entwickler aufgrund enger Termine häufig viele Bibliotheken verwenden, ohne sie vollständig zu überprüfen. Die dezentrale Kryptowährung ermöglicht es Entwicklern, über große Entfernungen zusammenzuarbeiten, aber auch den Angriffsvektor von Open -Source -Projekten erhöht.

Nach dem Bericht der Vereinten Nationen 2024 waren nordkoreanische Hacker für 35% der Kryptowährungsdiebstähle verantwortlich, was auf 1 Milliarde US -Dollar an Lost Crypto in Höhe von 1 Milliarde US -Dollar entspricht. Die Hacker stellen eine neue Art von Sicherheitsbedrohung dar, die staatliche Akteure sind, da sie möglicherweise ihr angesammeltes Vermögen nutzen, um Atomwaffenprogramme und ballistische Raketenverbesserungen zu finanzieren.