Attacco alla Supply Chain su Axios: Scaricata Dipendenza Maligna da NPM

Riassunto

Un pacchetto npm dannoso, plain-crypto-js@4.2.1, è stato pubblicato e successivamente inserito come dipendenza transitiva attraverso versioni compromesse del noto client JavaScript HTTP Axios. Il pacchetto utilizza uno script post-installazione per distribuire un trojan di accesso remoto multi-stadio che prende di mira Windows, macOS e Linux. L’attacco sembra aver fatto affidamento su token npm di lunga durata, consentendo agli attori della minaccia di diffondere versioni dannose al di fuori del normale flusso di rilascio del progetto. Rilevare in anticipo la dipendenza manomessa può fermare il RAT prima dell’esecuzione sui sistemi interessati.

Indagine

Socket Research ha effettuato un’analisi statica del setup.js dropper e ha deoffuscato stringhe codificate per esporre il dominio C2, la logica di consegna del payload e i percorsi del file system target. I ricercatori hanno identificato tre versioni compromesse di Axios e altri due pacchetti npm che contenevano lo stesso codice dannoso. Hanno inoltre estratto indicatori di rete, percorsi dei file e stringhe user-agent che possono essere utilizzate per l’ingegneria della rilevazione e la creazione di regole.

Mitigazione

Le organizzazioni dovrebbero revocare eventuali token npm di lunga durata e ruotare le credenziali per tutti gli account potenzialmente colpiti. Le versioni compromesse di Axios e qualsiasi pacchetto che dipende da plain-crypto-js@4.2.1 dovrebbero essere rimosse o declassate immediatamente. I team dovrebbero anche esaminare i file di blocco, le pipeline CI/CD e i controlli di sicurezza della catena di fornitura del software per identificare attività di pubblicazione non autorizzate e ridurre la possibilità di compromissioni future del pacchetto.

Risposta

I team di sicurezza dovrebbero monitorare i log di installazione npm per riferimenti a plain-crypto-js@4.2.1 e alle versioni di Axios colpite. Dovrebbero essere create regole di rilevazione per l’esecuzione del hook postinstall, l’accesso alla rete a sfrclak.com, e la stringa user-agent dannosa. Se la compromissione è confermata, i sistemi colpiti dovrebbero essere messi in quarantena, la memoria volatile raccolta per l’analisi, e l’host rimesso a posto se il RAT è trovato.

Esecuzione della Simulazione

Prerequisito: Il Controllo di Idoneità di Telemetria e Baseline Deve Aver Ottenuto Risultati Positivi.

Motivo: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per innescare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente le TTP identificate e mirare a generare esattamente la telemetria prevista dalla logica di rilevamento.

• Narrativa dell’Attacco & Comandi:

  Un attaccante che ha ottenuto privilegi utente limitati su una workstation compromessa desidera scaricare un payload dannoso VBScript tramite un pacchetto npm legittimo (scenario di catena di fornitura). Per evitare il rilevamento generale di PowerShell, l’attaccante copia powershell.exe in un nuovo file chiamato powershell_renamed.exe ma mantiene la sottostringa “powershell” nel nome del file (quindi il controllo Image|contains corrisponde ancora). L’attaccante quindi esegue una ricerca “where powershell” per enumerare il percorso del binario rinominato e infine avvia il payload VBScript con cscript //nologo per sopprimere il banner del logo.

• Script di Test di Regressione:

  # -------------------------------------------------
  # Passo 1: Crea una copia rinominata di powershell.exe
  # -------------------------------------------------
  $src = "$env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe"
  $dst = "$env:Temppowershell_renamed.exe"
  Copy-Item -Path $src -Destination $dst -Force
  
  # -------------------------------------------------
  # Passo 2: Usa 'where' per fare riferimento al binario rinominato
  # -------------------------------------------------
  $whereOutput = & where.exe powershell_renamed
  Write-Host "Located renamed PowerShell at: $whereOutput"
  
  # -------------------------------------------------
  # Passo 3: Crea un semplice payload VBScript dannoso
  # -------------------------------------------------
  $vbsPath = "$env:Tempmalicious.vbs"
  @"
  Set objShell = CreateObject("WScript.Shell")
  objShell.Run "cmd.exe /c echo pwned > $env:Temppwned.txt", 0, False
  "@ | Set-Content -Path $vbsPath -Encoding ASCII
  
  # -------------------------------------------------
  # Passo 4: Esegui silenziosamente il VBScript usando cscript //nologo
  # -------------------------------------------------
  & $dst -Command "cscript //nologo `"$vbsPath`""
  # -------------------------------------------------
  # Fine della simulazione
  # -------------------------------------------------

• Comandi di Pulizia:

  # Rimuovi il binario PowerShell rinominato
  Remove-Item -Path "$env:Temppowershell_renamed.exe" -Force -ErrorAction SilentlyContinue
  
  # Elimina il file VBScript dannoso
  Remove-Item -Path "$env:Tempmalicious.vbs" -Force -ErrorAction SilentlyContinue
  
  # Rimuovi le prove dell'esecuzione
  Remove-Item -Path "$env:Temppwned.txt" -Force -ErrorAction SilentlyContinue