Kötü amaçlı bir npm paketinin, kendi sabit kodlu GitHub tokenını sızdırırken yakalandı; bu, araştırmacıların operatörün veri hırsızlığını içeriden ortaya çıkmasını izlemesine olanak tanıyan bir hataydı.
Mouse5212-super-formatter adlı paket, firmanın araştırma ekibinin yeni analizine göre OX Security tarafından belirlendi. Bir bilgi hırsızı olarak işlev görür, kurbanın makinesindeki dosyaları sessizce okur ve bunları saldırganın kontrol ettiği bir depoya yükler.
Paket 676 kez indirildi ve OX Security'nin Çarşamba günü yazdığı sırada npm'de yayında kaldı, ancak daha sonra kaldırıldı.
Sistem Güvenliği
Senkronizasyon Yardımcı Programı kılığına girmiş
Detaylar ve Etkileri
Görünüşte, komut dosyası kendisini GitHub deposunu kontrol eden ve ağ durumu anlık görüntüsünü kaydeden dahili bir "arşiv dağıtım senkronizasyonu" aracı olarak sunar.
OX Security, pratikte kurulum sonrası kodun GitHub'da kimlik doğrulaması yaptığını, eğer mevcut değilse bir depo oluşturduğunu, ardından yinelemeli olarak yerel bir dizinde gezindiğini ve her dosyayı GitHub İçerik API'si aracılığıyla yüklediğini buldu.
Kötü amaçlı yazılım, buna uyum sağlamak için çalınan dosyaları her çalıştırmada rastgele adlandırılmış bir klasör altında saklıyor ve sahte bir "ağ bağlantıları" günlüğü yazıyor, böylece etkinlik hırsızlıktan ziyade teşhise benziyor. Dikkat çekmemek için yorumlar ve taahhüt mesajları kasıtlı olarak yumuşak tutuldu.
Nasıl Önlem Alınmalı?
Ölümcül kusur, kodda bırakılan sabit kodlu bir geri dönüş belirteciydi. Kötü amaçlı yazılım, operatörün kendi GitHub kimlik bilgisini taşıdığından, araştırmacılar, saldırganın deposundaki yaklaşık yedi hırsızlık oturumunu gözlemleyerek sızıntının doğrudan izini sürebildiler; bunların çoğu, aracı test eden operatör gibi görünüyordu.
Daha özensiz tehditlerin bir işareti
Önemli Gelişmeler
OX Security, paketi, temel operasyonel güvenliği kavrayamayan bir operatör tarafından yapay zeka ile oluşturulan kötü amaçlı yazılımın bir örneği olarak çerçeveledi.
Teknik Analiz
Arkasındaki GitHub hesabı, ilk yüklemeden yalnızca birkaç saat önce oluşturulmuş ve etkinlik ortaya çıktıktan sonra silinmişti.
Uzmanların Görüşleri
Bölüm daha geniş bir değişime işaret ediyor. Çalışan kötü amaçlı kod üretmek için gereken çaba azaldıkça, araştırmacılar, çoğu daha yetenekli grupları taklit eden, daha az beceriye sahip aktörlerin ürettiği düşük kaliteli, yapay zeka destekli kötü amaçlı yazılımların artmasını bekliyor.
Aynı dinamik, analistlerin büyük ölçüde yapay zeka tarafından tek bir kişinin yönetimi altında oluşturulduğu sonucuna vardığı bir Linux kötü amaçlı yazılım türü olan VoidLink'te de sergileniyordu.
Sonuç ve Değerlendirme
VoidLink hakkında daha fazlasını okuyun: Araştırmacılar, Linux Kötü Amaçlı Yazılımlarının Yapay Zeka Aracısı Kullanılarak Oluşturulduğunu Açıkladı
Savunmacılar için pratik tavsiyeler, saldırganın beceriksizliğine göre değişmez. OX Security, paketi yükleyen herkesi GitHub erişim belirteçlerini iptal etmeye ve etkilenen dizindeki tüm hassas dosyaları tehlikeye atılmış olarak değerlendirmeye çağırdı.
