Krypto-Software-Entwicklungsinfrastruktur von neuem Bedrohungsakteur ins Visier genommen

Zusammenfassung

Ein finanziell motivierter Bedrohungsakteur, bekannt als JINX-0164, zielt über Social Engineering auf LinkedIn, macOS-Malware und CI/CD-Kompromittierung auf Kryptowährungsentwickler ab. Die Gruppe setzt einen individuellen Python-RAT namens AUDIOFIX und einen Go-basierten Backdoor namens MINIRAT ein, beide konfiguriert, um mit fest codierten Command-and-Control-Domains zu kommunizieren. Nach dem Erlangen von Zugriff stehlen die Angreifer Cloud- und Entwicklungsanmeldeinformationen, manipulieren Code-Repositories und veröffentlichen sogar bösartige npm-Pakete, um den Zugriff zu erweitern und Kryptowährungsdiebstahl zu ermöglichen. Die Kampagne spiegelt eine ausgeklügelte Lieferkettenbedrohung wider, die auf den Softwareentwicklungslebenszyklus abzielt.

Untersuchung

Wiz CIRT verfolgte den Einbruch vom ersten LinkedIn-Kontakt über die Zustellung eines bösartigen Links, die Ausführung von macOS-Payloads, die Anmeldeinformationen-Diebstahl und die seitliche Bewegung in Quellcode-Repositories. Ihre Untersuchung enthüllte Dropper-Skripte, Persistenz durch launchctl, und den Einsatz des nord-stream Werkzeugs zur Exfiltration von Geheimnissen. Forscher identifizierten auch mehrere gefälschte Domains, VPN-Ausstiegsknoten und einen Lieferkettenkompromiss, der das @velora-dex/sdk npm-Paket umfasst. Dateipfade, Hashes, Domains und IP-Adressen wurden gesammelt, um die Erkennung und Bedrohungsjagd zu unterstützen.

Milderung

Empfohlene Abwehrmaßnahmen umfassen die Überwachung von macOS-Systemen auf launchctl Persistenz, die Erkennung verdächtiger LaunchAgents und das Blockieren der bekannten bösartigen Domains und Command-and-Control-Server. Organisationen sollten signierte Commits durchsetzen, GitHub Vigilant Mode aktivieren und auf nicht verifizierte Commits oder ungewöhnliche Änderungen im CI/CD-Workflow achten. Die VPN-Nutzung sollte auf zugelassene Anbieter beschränkt werden, und MFA sollte für Cloud-Konten und Entwicklungsplattformen erforderlich sein.

Reaktion

Wenn diese Aktivität erkannt wird, isolieren Sie das betroffene macOS-System sofort, sammeln Sie forensische Artefakte und widerrufen Sie alle kompromittierten Anmeldeinformationen und API-Token. Sicherheitsteams sollten eine vollständige Überprüfung von Code-Repositories auf bösartige Commits durchführen und alle kompromittierten npm-Pakete entfernen. Die identifizierten Command-and-Control-Domains sollten blockiert, und Firewall-Regeln sollten aktualisiert werden, um den Datenverkehr zu den bösartigen IP-Adressen zu verweigern. Relevante Interessengruppen sollten benachrichtigt werden, und ein Threat-Intelligence-Austausch mit vertrauenswürdigen Industriepartnern sollte in Betracht gezogen werden.