Npm, attacco supply chain: compromesso un package con 45.000 download settimanali

Qualche giorno fa i ricercatori di Aikido hanno individuato un attacco supply chain contro rand-user-agent, un package npm della compagnia WebScraping API che contra circa 45.000 download settimanali.

Il package, nonostante sia deprecato, viene ancora usato da molti utenti per generare stringhe user-agent randomiche, usate per effettuare il web scraping, automatizzare test e condurre analisi di sicurezza. Durante l’esecuzione di una pipeline, il sistema di analisi automatizzata di Aikido ha segnalato rand-user-agent come pacchetto sospetto; in particolare, ha evidenziato la presenza di codice malevolo nel file dist/index.js.

Il codice malevolo non è immediatamente visibile da una semplice occhiata al file: gli attaccanti hanno offuscato il codice in modo che si potesse visualizzare solo scrollando la barra di navigazione orizzontalmente.

Credits: Aikido

Il codice, nascosto tramite molteplici livelli di offuscamento, appartiene a un trojan ad accesso remoto (RAT) in grado di connettersi a un server C2 tramite socket.io-client ed esfiltrare file con axios.

Il RAT ha anche una feature molto particolare progettata per sistemi Windows gli permette di eseguire binari malevoli spacciandosi per un tool Python. Lo script appende un percorso particolare alla variabile d’ambiente PATH prima di eseguire qualsiasi comando shell. “Iniettando questo percorso all’inizio di PATH, qualsiasi comando che si affida a eseguibili environment-resolved (python, pip, ec…) può essere compromesso senza che l’utente se ne accora. Questo è particolarmente efficace sui sistemi dove ci si aspetta che Python sia già presente“.

Sembra che il codice malevolo sia presente da 7 mesi sul repository, a partire dalla versione 2.0.80. Dopo di essa, sono state rilasciate altre cinque versioni e tutte contenevano il payload del RAT. Attualmente su npm le versioni malevole non sono più disponibili ed è possibile scaricare l’ultimo aggiornamento in sicurezza. Nel caso in precedenza si fosse usata una delle versioni compromesse, è importante eseguire una scansione completa del proprio dispositivo per individuare l’eventuale presenza del trojan.