Ataque à Cadeia de Suprimentos no Axios Puxa Dependência Maliciosa do NPM

Ruslan Mikhalov Chefe de Pesquisa de Ameaças na SOC Prime

Seguir

Ataque à Cadeia de Suprimentos no Axios Puxa Dependência Maliciosa do NPM

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Um pacote npm malicioso, plain-crypto-js@4.2.1, foi publicado e depois incluído como uma dependência transitiva por meio de lançamentos comprometidos do cliente HTTP JavaScript amplamente usado Axios. O pacote usa um script pós-instalação para entregar um trojan de acesso remoto em múltiplas etapas, direcionado a Windows, macOS e Linux. O ataque parece ter se baseado em tokens npm de longa duração, permitindo que os agentes de ameaça liberassem versões maliciosas fora do fluxo de lançamento habitual do projeto. Detectar a dependência alterada cedo pode impedir o RAT antes da execução nos sistemas afetados.

Investigação

A pesquisa da Socket realizou uma análise estática do setup.js dropper e desofuscou strings codificadas para expor o domínio C2, lógica de entrega de carga e caminhos do sistema de arquivos alvo. Os pesquisadores identificaram três versões comprometidas do Axios e dois pacotes npm adicionais que continham o mesmo código malicioso. Eles também extraíram indicadores de rede, caminhos de arquivos e strings de agente de usuário que podem ser usados para engenharia de detecção e criação de regras.

Mitigação

As organizações devem revogar qualquer token npm de longa duração e girar as credenciais de todas as contas potencialmente afetadas. As versões comprometidas do Axios e quaisquer pacotes que dependem de plain-crypto-js@4.2.1 devem ser removidos ou rebaixados imediatamente. As equipes também devem revisar lockfiles, pipelines CI/CD e controles de segurança da cadeia de suprimentos de software para identificar atividades de publicação não autorizadas e reduzir a chance de compromisso de pacotes futuros.

Resposta

As equipes de segurança devem monitorar os logs de instalação do npm para referências a plain-crypto-js@4.2.1 e as versões afetadas do Axios. Regras de detecção devem ser criadas para execução do hook de pós-instalação, acesso à rede para sfrclak.com, e a string de agente de usuário malicioso. Se o compromisso for confirmado, os sistemas afetados devem ser isolados, a memória volátil deve ser coletada para análise, e o host deve ser reformatado se o RAT for encontrado.

graph TB %% Class definitions classDef technique fill:#c2e0ff classDef tool fill:#ffd9b3 classDef malware fill:#f5b7b1 classDef process fill:#d5f5e3 %% Technique nodes tech_t1195_002[“Técnica – T1195.002 Comprometimento da cadeia de fornecimento: software Descrição: Adversários comprometem atualizações ou distribuição de pacotes para entregar código malicioso.”] class tech_t1195_002 technique tech_t1127_003[“Técnica – T1127.003 Execução proxy via utilitários confiáveis Descrição: Código malicioso executado via script post-install.”] class tech_t1127_003 technique tech_t1059_004[“Técnica – T1059.004 Shell Unix Descrição: Uso de curl, chmod, nohup.”] class tech_t1059_004 technique tech_t1059_001[“Técnica – T1059.001 PowerShell”] class tech_t1059_001 technique tech_t1059_005[“Técnica – T1059.005 Visual Basic”] class tech_t1059_005 technique tech_t1059_003[“Técnica – T1059.003 CMD Windows”] class tech_t1059_003 technique tech_t1027_014[“Técnica – T1027.014 Ofuscação”] class tech_t1027_014 technique tech_t1070_004[“Técnica – T1070.004 Remoção de evidências”] class tech_t1070_004 technique tech_t1195_001[“Técnica – T1195.001 Compromisso de dependências”] class tech_t1195_001 technique tech_t1127[“Técnica – T1127 Hooks npm”] class tech_t1127 technique tech_t1082[“Técnica – T1082 Descoberta do sistema”] class tech_t1082 technique tech_t1219[“Técnica – T1219 Acesso remoto”] class tech_t1219 technique tech_t1102_002[“Técnica – T1102.002 Comunicação web”] class tech_t1102_002 technique tech_t1570[“Técnica – T1570 Transferência lateral”] class tech_t1570 technique tech_t1036_005[“Técnica – T1036.005 Mascaramento”] class tech_t1036_005 technique tech_t1036_003[“Técnica – T1036.003 Renomeação”] class tech_t1036_003 technique process_curl[“Processo – curl”] class process_curl process process_chmod[“Processo – chmod”] class process_chmod process process_nohup[“Processo – nohup”] class process_nohup process malware_rat[“Malware – macOS RAT”] class malware_rat malware %% Connections showing attack flow tech_t1195_002 –>|leads_to| tech_t1127_003 tech_t1127_003 –>|uses| tech_t1059_004 tech_t1059_004 –>|executes| tech_t1059_001 tech_t1059_004 –>|executes| tech_t1059_005 tech_t1059_004 –>|executes| tech_t1059_003 tech_t1059_004 –>|employs| tech_t1027_014 tech_t1059_004 –>|leverages| tech_t1195_001 tech_t1059_004 –>|leverages| tech_t1127 tech_t1059_004 –>|collects| tech_t1082 tech_t1027_014 –>|enables| tech_t1070_004 tech_t1082 –>|enables| tech_t1219 tech_t1219 –>|communicates via| tech_t1102_002 tech_t1102_002 –>|facilitates| tech_t1570 tech_t1570 –>|results in| tech_t1036_005 tech_t1570 –>|results in| tech_t1036_003 tech_t1059_004 –>|downloads| process_curl tech_t1059_004 –>|sets permissions| process_chmod tech_t1059_004 –>|runs background| process_nohup malware_rat –>|is the| tech_t1219

Ataque à Cadeia de Suprimentos no Axios Puxa Dependência Maliciosa do NPM

Resumo

Investigação

Mitigação

Resposta

Fluxo de Ataque

Detecções

MacOS Suspeito – Localizações e Nomes Plist (via file_event)

Processos Filhos Suspeitos do NodeJS [Windows] (via cmdline)

Upload/Download de Arquivo Remoto via Ferramentas Padrão (via cmdline)

Modificação de Permissões de Arquivos na Pasta Tmp Suspeita no MacOS (via cmdline)

Uso Suspeito de CURL (via cmdline)

Possível Execução por Uso de chmod e nohup em Comando Único (via cmdline)

Downloads para Pastas Suspeitas (via cmdline)

LOLBAS WScript / CScript (via process_creation)

Possibilidade de Execução Através de Linhas de Comando PowerShell Ocultas (via cmdline)

Uso de Nohup (via cmdline)

IOCs (SourceIP) para detectar: Ataque à Cadeia de Suprimentos no Axios Puxa Dependência Maliciosa do npm

IOCs (DestinationIP) para detectar: Ataque à Cadeia de Suprimentos no Axios Puxa Dependência Maliciosa do npm

IOCs (Emails) para detectar: Ataque à Cadeia de Suprimentos no Axios Puxa Dependência Maliciosa do npm

Táticas de Evasão PowerShell e VBScript em Ataque à Cadeia de Suprimentos (Criação de Processo Windows)

Detecção de Execução de Hook de Postinstall de Pacote npm Malicioso (Criação de Processo Linux)

Detecção de Script Python Malicioso e Arquivo Temporário em Ataque à Cadeia de Suprimentos Linux (Evento de Arquivo Linux)

Terminal do Windows Renomeado e VBScript Autodeletante Detectado (Evento de Arquivo Windows)

Execução de Script PowerShell com Flags Ocultas e de Bypass (Windows PowerShell)

Execução de Simulação