暗号通貨ソフトウェア開発インフラが新たな脅威アクターに標的にされる

概要

JINX-0164として追跡される財務動機のある脅威アクターが、LinkedInのソーシャルエンジニアリング、macOSマルウェア、CI/CDの妥協を通じて暗号通貨開発者を標的にしています。このグループは、AUDIOFIXとして知られるカスタムPython RATと、MINIRATというGoベースのバックドアを展開しており、いずれもハードコードされたコマンド＆コントロールドメインと通信するように設定されています。アクセスを得た後、攻撃者はクラウドや開発の資格情報を盗み、コードリポジトリを改ざんし、さらには悪意のあるnpmパッケージを公開してアクセスを拡大し、暗号通貨の盗難を可能にします。このキャンペーンは、ソフトウェア開発ライフサイクルを狙った高度なサプライチェーン脅威を反映しています。

調査

Wiz CIRTは、最初のLinkedInの勧誘から悪意のあるリンクの配信、macOSペイロードの実行、資格情報の盗難、およびソースコードリポジトリへの横方向移動まで侵入を追跡しました。彼らの調査により、ドロッパースクリプト、持続性の維持に関与する launchctl、および秘密の漏洩に使用される nord-stream ツールが発見されました。研究者たちはまた、複数の偽装ドメイン、VPN出口ノード、@velora-dex/sdk npmパッケージを巻き込んだサプライチェーンの妥協も特定しました。ファイルパス、ハッシュ、ドメイン、およびIPアドレスは、検出と脅威のハンティングをサポートするために収集されました。 @velora-dex/sdk npm package. File paths, hashes, domains, and IP addresses were collected to support detection and threat hunting.

軽減策

推奨される防御策には、macOSシステムの持続性の監視、疑わしいLaunchAgentsの検出、既知の悪意のあるドメインやコマンド＆コントロールサーバーのブロックが含まれます。組織は署名付きコミットを施行し、GitHub Vigilant Modeを有効にし、未確認のコミットや異常なCI/CDワークフローの変更に注意を払うべきです。VPNの使用は承認されたプロバイダーに制限され、クラウドアカウントや開発プラットフォームにはMFAが必要とされるべきです。 launchctl persistence, detecting suspicious LaunchAgents, and blocking the known malicious domains and command-and-control servers. Organizations should enforce signed commits, enable GitHub Vigilant Mode, and watch for unverified commits or unusual CI/CD workflow changes. VPN use should be limited to approved providers, and MFA should be required for cloud accounts and development platforms.

対応

この活動が検出された場合、影響を受けたmacOSシステムを直ちに隔離し、フォレンジックアーティファクトを収集し、妥協した資格情報およびAPIトークンを取り消すべきです。セキュリティチームは、悪意のあるコミットのためにコードリポジトリを徹底的にレビューし、妥協したnpmパッケージを削除する必要があります。特定されたコマンド＆コントロールドメインはブロックされ、悪意のあるIPアドレスへのトラフィックを拒否するようにファイアウォールルールが更新されるべきです。関連する利害関係者に通知し、信頼できる業界パートナーとの脅威インテリジェンスの共有を検討するべきです。