BigSquatRat npm Package Campaign Analysis

概要

このレポートでは、リモートアクセス型トロイの木馬をインストールする悪意のあるnpmパッケージ「bigmathix」がプロファイルされています。それは多段階のコードを使用して、攻撃者が管理するGitHubコンテンツとaurevian.cloudからペイロードを取得します。動的な暗号解読キーと、実行を制御する初期化引数の必要性により、検知が難しく、JavaScript開発者を狙う供給チェーン攻撃に一致します。

調査

研究者たちはこのパッケージをデオブファスケートし、子プロセスを生成し、DNS解決を行い、派生キーを使用して埋め込まれたURLを解読するチェーンを再構築しました。初期化値をブルートフォースすることにより、彼らはaurevian.cloudから2段階目のペイロードを回収し、最終的なRATロジックには追加のオブファスケーションが導入されました。アナリストたちはまた、関連するGitHubリポジトリや、同時期に公開された追加のnpmパッケージを関連付け、キャンペーンの規模をマッピングしました。

軽減策

信用できないnpm依存関係、特に新たに公開されたものやダウンロード数が少ないパッケージ、または突然バージョン変更されたモジュールを避け、ハッシュやプロバナンス制御を通じて整合性を確認してください。node.exeによって生成された疑わしい子プロセスや、未知のドメインへの予期しないアウトバウンドルックアップを監視してください。aurevian.cloudへのエグレスフィルタリングを適用し、Node.jsプロセスによって作成されるWindowsの実行キーやLinuxのsystemdサービスなどの持続性にアラートを設定してください。

対応策

bigmathixが特定された場合、エンドポイントを隔離し、パッケージを削除し、生成されたNode.jsプロセスを終了してください。作成された実行キーやsystemdユニットを削除し、関連するドメイン/IPをブロックし、DNS、プロセスの系譜、およびネットワークのエグレスを示すログを収集します。ダウンロードされたペイロードや持続性（wscript.exeランチャーやスケジュールされたサービスなど）を特定するためにフォレンジック調査を行い、それに一致するアーティファクトを環境全体で探してください。

シミュレーション実行

前提条件: テレメトリおよびベースラインの事前チェックが合格している必要があります。

根拠: このセクションは、検出ルールを発動するように設計された敵の技術（TTP）の正確な実行を詳細に示します。コマンドと説明は、特定されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリを生成することを目的としています。抽象的または無関係な例では誤診を引き起こす可能性があります。

• 攻撃の詳細とコマンド:
  攻撃者は、Node.jsランタイムを必要とする悪意のあるJavaScriptペイロードを所有しています。通常のアプリケーションホワイトリスティングを回避するために、彼らは使用します wscript.exe—ネイティブのWindowsスクリプトホスト—を使用して開始します node.exe 間接的に、検出ルールに一致する親/子関係を作成します。手順は次の通りです:

  1. 悪意のあるスクリプトをドロップします (malicious.js) それは単に node.exe ペイロードを生成します。
  2. ラッパーJavaScriptを作成します (launcher.js) Windowsスクリプトホストが実行するために; このラッパーは WScript.Shell を使用して実行します node.exe ペイロードを生成します。
  3. ラッパーを介して実行 wscript.exe //B //Nologo launcher.js.
  4. 結果として生じるプロセスツリーは wscript.exe → node.exe → malicious.js, 目標のテレメトリを生成します。

• 回帰テストスクリプト:
  次のPowerShellスクリプトは、Windowsテストホスト上での全チェーンを自動化します。

  # -------------------------------------------------
  # 回帰テスト – Node.js RAT実行 via wscript
  # -------------------------------------------------
  
  # 変数
  $tempPath = "$env:TEMP"
  $launcherPath = Join-Path $tempPath "launcher.js"
  $payloadPath  = Join-Path $tempPath "malicious.js"
  $nodePath     = "C:Program Filesnodejsnode.exe"   # インストール場所が異なる場合、調整してください
  
  # 1. 悪意のあるペイロードを書き込む（デモ用の簡単なコンソールログ）
  $payloadContent = @"
  console.log('悪意のあるペイロードが実行されました');
  // 本当のRATコードはここに
  "@
  $payloadContent | Out-File -FilePath $payloadPath -Encoding ASCII
  
  # 2. wscriptが実行するランチャーを書き込む
  $launcherContent = @"
  var shell = WScript.CreateObject("WScript.Shell");
  // 悪意のあるスクリプトでnode.exeを実行する
  var cmd = "`"$nodePath`" `"$payloadPath`"";
  shell.Run(cmd, 0, false);
  "@
  $launcherContent | Out-File -FilePath $launcherPath -Encoding ASCII
  
  # 3. wscriptを介してチェーンを実行
  Write-Host "悪意のあるチェーンを起動中..."
  wscript.exe //B //Nologo $launcherPath
  
  # テレメトリがキャプチャされるまで一時停止
  Start-Sleep -Seconds 5
  
  # 4. オプション: nodeプロセスが実行中であることを確認（手動観察用）
  Get-Process -Name node -ErrorAction SilentlyContinue
  
  # -------------------------------------------------
  # 回帰テストの終了
  # -------------------------------------------------

• クリーンアップコマンド: アーティファクトを削除し、残っているプロセスを終了します。

  # クリーンアップスクリプト – 検証後に実行
  $tempPath = "$env:TEMP"
  Remove-Item -Path (Join-Path $tempPath "launcher.js") -ErrorAction SilentlyContinue
  Remove-Item -Path (Join-Path $tempPath "malicious.js") -ErrorAction SilentlyContinue
  
  # テストによって生成された残りのnode.exeプロセスを終了
  Get-Process -Name node -ErrorAction SilentlyContinue | Stop-Process -Force