Атака на ланцюг постачання на Axios завантажує шкідливу залежність з NPM

Ruslan Mikhalov Керівник досліджень загроз у SOC Prime

Стежити

Атака на ланцюг постачання на Axios завантажує шкідливу залежність з NPM

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Зловмисний пакет npm, plain-crypto-js@4.2.1, був опублікований і пізніше підтриманий як транзитивна залежність через скомпрометовані випуски широко використовуваного клієнта JavaScript HTTP Axios. Пакет використовує скрипт після встановлення для доставки багатостадійного трояну віддаленого доступу, націленого на Windows, macOS та Linux. Атака, схоже, спиралася на довготривалі маркери npm, які дозволяли загрозливим акторам надсилати зловмисні версії поза звичайним процесом випуску проекту. Виявлення пошкодженої залежності на ранньому етапі може зупинити RAT до виконання на уражених системах.

Розслідування

Дослідження Socket провели статичний аналіз setup.js дропера і декодували закодовані рядки, щоб виявити домен C2, логіку доставки навантаження та націлені шляхи файлової системи. Дослідники виявили три скомпрометовані версії Axios і два додаткові пакети npm, які містили той самий зловмисний код. Вони також вийняли мережеві індикатори, шляхи файлів і рядки користувацьких агентів, які можна використовувати для створення правил виявлення.

Пом’якшення

Організації повинні анулювати будь-які довготривалі маркери npm і змінити облікові дані для всіх потенційно уражених облікових записів. Скомпрометовані версії Axios і будь-які пакети, що залежать від plain-crypto-js@4.2.1 повинні бути негайно видалені або знижені. Команди також повинні перевірити lockfiles, CI/CD конвеєри та заходи безпеки ланцюга поставок програмного забезпечення, щоб ідентифікувати несанкціоновану публічну активність та зменшити ризик майбутнього компрометації пакетів.

Реакція

Команди безпеки повинні моніторити журнали установки npm на предмет згадок про plain-crypto-js@4.2.1 і уражені версії Axios. Повинні бути створені правила виявлення для виконання гачка postinstall, доступу до мережі на sfrclak.com, і зловмисного рядка користувацького агента. Якщо компрометація підтверджена, уражені системи повинні бути поміщені в карантин, зібрана летуча пам’ять для аналізу, а хост перевстановлений, якщо RAT виявлено.

graph TB %% Class definitions classDef technique fill:#c2e0ff classDef tool fill:#ffd9b3 classDef malware fill:#f5b7b1 classDef process fill:#d5f5e3 %% Technique nodes tech_t1195_002[“Техніка – T1195.002 Компрометація ланцюга постачання: компрометація програмного забезпечення Опис: Зловмисники компрометують оновлення ПЗ або розповсюдження пакетів для доставки шкідливого коду.”] class tech_t1195_002 technique tech_t1127_003[“Техніка – T1127.003 Виконання через довірені інструменти розробника: post-install hook JamPlus Опис: Шкідливий код виконується через post-install скрипт, вставлений у довірену утиліту розробника.”] class tech_t1127_003 technique tech_t1059_004[“Техніка – T1059.004 Інтерпретатор команд і скриптів: Unix Shell Опис: Використання команд Unix (curl, chmod, nohup) для завантаження та запуску payload’ів.”] class tech_t1059_004 technique tech_t1059_001[“Техніка – T1059.001 Інтерпретатор команд і скриптів: PowerShell Опис: Виконання команд PowerShell для запуску payload’у під Windows.”] class tech_t1059_001 technique tech_t1059_005[“Техніка – T1059.005 Інтерпретатор команд і скриптів: Visual Basic Опис: Запуск payload’у на основі VBScript.”] class tech_t1059_005 technique tech_t1059_003[“Техніка – T1059.003 Інтерпретатор команд і скриптів: Windows Command Shell Опис: Виконання batch-команд через cmd.exe.”] class tech_t1059_003 technique tech_t1027_014[“Техніка – T1027.014 Обфускація файлів або інформації: поліморфний код Опис: Використання кастомного Base64 + XOR для приховування шкідливого коду.”] class tech_t1027_014 technique tech_t1070_004[“Техніка – T1070.004 Видалення індикаторів на хості: видалення файлів Опис: Видалення setup.js та package.json для стирання слідів.”] class tech_t1070_004 technique tech_t1195_001[“Техніка – T1195.001 Компрометація ланцюга постачання: компрометація залежностей і інструментів розробки Опис: Інʼєкція plain-crypto-js у залежність Axios.”] class tech_t1195_001 technique tech_t1127[“Техніка – T1127 Виконання через довірені інструменти (npm lifecycle hook) Опис: Використання lifecycle hooks npm для виконання шкідливого коду під час встановлення пакету.”] class tech_t1127 technique tech_t1082[“Техніка – T1082 Виявлення інформації про систему Опис: Збір версії ОС, hostname, поточного користувача та інших даних.”] class tech_t1082 technique tech_t1219[“Техніка – T1219 Засоби віддаленого доступу Опис: Використання macOS Mach-O RAT для віддаленого керування.”] class tech_t1219 technique tech_t1102_002[“Техніка – T1102.002 Веб-сервіс: двостороння комунікація Опис: HTTP POST-запити до sfrclak.com для C2-комунікації.”] class tech_t1102_002 technique tech_t1570[“Техніка – T1570 Латеральна передача інструментів Опис: Завантаження платформозалежних бінарників або скриптів на скомпрометований хост.”] class tech_t1570 technique tech_t1036_005[“Техніка – T1036.005 Маскування: імітація легітимних ресурсів Опис: Перейменування package.md у package.json та використання правдоподібної назви wt.exe.”] class tech_t1036_005 technique tech_t1036_003[“Техніка – T1036.003 Маскування: перейменування легітимних утиліт Опис: Перейменування powershell.exe у wt.exe для маскування.”] class tech_t1036_003 technique %% Process / tool nodes (optional illustrative nodes) process_curl[“Процес – команда curl”] class process_curl process process_chmod[“Процес – команда chmod”] class process_chmod process process_nohup[“Процес – команда nohup”] class process_nohup process malware_rat[“Шкідливе ПЗ – macOS Mach-O RAT”] class malware_rat malware %% Connections showing attack flow tech_t1195_002 –>|leads_to| tech_t1127_003 tech_t1127_003 –>|uses| tech_t1059_004 tech_t1059_004 –>|executes| tech_t1059_001 tech_t1059_004 –>|executes| tech_t1059_005 tech_t1059_004 –>|executes| tech_t1059_003 tech_t1059_004 –>|employs| tech_t1027_014 tech_t1059_004 –>|leverages| tech_t1195_001 tech_t1059_004 –>|leverages| tech_t1127 tech_t1059_004 –>|collects| tech_t1082 tech_t1027_014 –>|enables| tech_t1070_004 tech_t1082 –>|enables| tech_t1219 tech_t1219 –>|communicates via| tech_t1102_002 tech_t1102_002 –>|facilitates| tech_t1570 tech_t1570 –>|results in| tech_t1036_005 tech_t1570 –>|results in| tech_t1036_003 %% Optional illustrative process links tech_t1059_004 –>|downloads| process_curl tech_t1059_004 –>|sets permissions| process_chmod tech_t1059_004 –>|runs background| process_nohup malware_rat –>|is the| tech_t1219

Атака на ланцюг постачання на Axios завантажує шкідливу залежність з NPM

Резюме

Розслідування

Пом’якшення

Реакція

Потік атаки

Виявлення

Підозрілі місцезнаходження та назви MacOS – Plist (через file_event)

Підозрілі дочірні процеси NodeJS [Windows] (через cmdline)

Віддалене завантаження / завантаження файлів через стандартні інструменти (через cmdline)

Макос Підозрілі зміни дозволів на файли в папці Tmp (через cmdline)

Підозріле використання CURL (через cmdline)

Можливе виконання за допомогою chmod та nohup в одній команді (через cmdline)

Завантаження до підозрілих папок (через cmdline)

LOLBAS WScript / CScript (через process_creation)

Можливість виконання через приховані командні рядки PowerShell (через cmdline)

Використання Nohup (через cmdline)

IOC (SourceIP) для виявлення: Атака на ланцюг поставок в Axios тягне зловмисну залежність з npm

IOC (DestinationIP) для виявлення: Атака на ланцюг поставок в Axios тягне зловмисну залежність з npm

IOC (Emails) для виявлення: Атака на ланцюг поставок в Axios тягне зловмисну залежність з npm

Евразійська тактика PowerShell і VBScript в атаці на ланцюг поставок [Створення процесу Windows]

Виявлення виконання зловмисного гачка postinstall пакету npm [Створення процесу на Linux]

Виявлення зловмисного сценарію Python і тимчасового файлу в атаці на ланцюг поставок на Linux [Подія файлу Linux]

Перейменований термінал Windows та самовидалювана VBScript виявлені [Подія файлу Windows]

Виконання скрипту PowerShell з прихованими і обхідними прапорами [Windows Powershell]

Виконання моделювання