L’opérateur a publié 12 packages, dont 8 malveillants, capables de diffuser des malwares sur des systèmes Windows par trois voies distinctes : un cheval de Troie d’accès à distance (RAT), un voleur d’identifiants et de portefeuilles de cryptomonnaies, et un downloader conçu pour rester actif sur la durée.
Principal enseignement de la recherche : au moment de l’analyse, deux packages malveillants étaient toujours installables sans aucun avis de sécurité public, et un troisième ne faisait l’objet que d’un avis partiel, couvrant deux de ses quatre versions malveillantes. Les équipes qui s’appuient uniquement sur les flux d’alertes risquent donc de passer à côté de packages malveillants toujours actifs.
Les attaquants ont publié sur npm, le principal registre de code JavaScript, des packages utilitaires imitant des packages légitimes. Un développeur qui en installe un, ou dont le projet l’intègre automatiquement comme dépendance, peut ainsi télécharger un malware à son insu. Les trois techniques reposent sur des infrastructures entièrement distinctes : bloquer l’une ne suffit donc pas à neutraliser les autres. Les chercheurs ont par ailleurs retrouvé la signature de l’opérateur dans l’ensemble de la campagne.
Article complet : Checkmarx Zero – MALFEX npm malware campaign
https://checkmarx.com/zero-post/malfex-npm-malware-campaign-three-payloads-and-an-adversary-that-signs-their-work/
