Arthur Herring
Een recente ontdekking door beveiligingsonderzoekers van Checkmarx heeft een voortdurende malwarecampagne aan het licht gebracht die zich richt op Roblox-ontwikkelaars via kwaadaardige npm-packages. De aanvallers bootsten de populaire “noblox.js” -bibliotheek na en hebben talrijke packages gepubliceerd die zijn ontworpen om gevoelige informatie te stelen en systemen te compromitteren.
De campagne, die al meer dan een jaar actief is, maakt gebruik van het vertrouwen dat wordt gesteld in het open-source ecosysteem. Het primaire doelwit is het Roblox-platform, dat bekend staat om zijn enorme gebruikersbestand van meer dan 70 miljoen dagelijks actieve gebruikers.
Ondanks verschillende takedowns blijven er nieuwe kwaadaardige packages verschijnen, waarvan sommige nog steeds actief zijn in het npm-register. Deze persistentie is zorgwekkend, omdat het de kans op verdere aanvallen vergroot.
Om een schijn van legitimiteit te creëren, hebben de aanvallers verschillende technieken toegepast, waaronder brandjacking, combosquatting en starjacking. Ze maken pakketnamen die lijken op legitieme uitbreidingen van de “noblox.js” -bibliotheek, zoals “noblox.js-async” en “noblox.js-thread.” Door de naamgevingspatronen van echte bibliotheken na te bootsen, is de kans groter dat nietsvermoedende ontwikkelaars deze kwaadaardige packages installeren. Bovendien linken de aanvallers hun packages aan de GitHub-opslagplaats-URL van de legitieme bibliotheek, waardoor zij de populariteit en betrouwbaarheid van hun packages vals verhogen.
De malware binnen de packages is zorgvuldig vermomd, waarbij de aanvallers de structuur van de legitieme “noblox.js” -bibliotheek repliceren. Ze introduceren echter hun kwaadaardige code binnen het “postinstall.js” -bestand, waarbij ze deze zwaar verduisteren, zelfs met Chinese karakters om analyse te ontmoedigen. Deze combinatie van technieken creëert een overtuigende façade, wat de kans vergroot dat ontwikkelaars de kwaadaardige software per ongeluk installeren en uitvoeren.
Eenmaal geïnstalleerd, maakt de malware gebruik van de “postinstall” -haak van npm, die bedoeld is voor legitieme installatieprocessen, en verandert het in een gateway voor de uitvoering van de malware. De code steelt Discord-autorisatietokens, schakelt beveiligingsmaatregelen zoals Malwarebytes en Windows Defender uit, en downloadt aanvullende payloads.
De malware gebruikt ook een geavanceerde persistentietechniek door de Windows-register te manipuleren om zichzelf elke keer uit te voeren wanneer de Windows-instellingen-app wordt geopend, waardoor het overleeft op het geïnfecteerde systeem. Het verzamelt gevoelige systeeminformatie en stuurt deze via een Discord-webhook naar de command-and-control-server van de aanvallers. De laatste klap komt met de inzet van QuasarRAT, een remote access tool die de aanvaller uitgebreide controle geeft over het gecompromitteerde systeem.
De voortdurende aanwezigheid van de infrastructuur van de aanvallers, met name een actieve GitHub-opslagplaats, is een verontrustend teken dat verdere malwareverspreiding via nietsvermoedende packages kan plaatsvinden.
Ontwikkelaars, vooral degenen die werken met packages die lijken op populaire bibliotheken zoals “noblox.js,” wordt geadviseerd om voorzichtig te zijn. Het grondig controleren van packages voordat ze in projecten worden opgenomen, is essentieel om ontwikkelaars en gebruikers te beschermen tegen geavanceerde aanvallen via de toeleveringsketen zoals deze.
Belangrijke vragen en antwoorden:
1. Wat is het primaire doelwit van de malwarecampagne?
– Het primaire doelwit van de malwarecampagne is het Roblox-platform, bekend om zijn grote gebruikersbestand.
2. Hoelang is de malwarecampagne al actief?
– De malwarecampagne is al meer dan een jaar actief.
3. Welke technieken gebruiken de aanvallers om ontwikkelaars te misleiden zodat ze hun kwaadaardige packages installeren?
– De aanvallers gebruiken technieken zoals brandjacking, combosquatting en starjacking om pakketnamen te maken die lijken op legitieme uitbreidingen van de “noblox.js” -bibliotheek.
4. Hoe zorgt de malware ervoor dat het persistent is op geïnfecteerde systemen?
– De malware manipuleert het Windows-register om zichzelf elke keer uit te voeren wanneer de Windows-instellingen-app wordt geopend, waardoor het overleeft op het geïnfecteerde systeem.
Belangrijkste uitdagingen of controverses:
– Een belangrijke uitdaging is de voortdurende aanwezigheid van de infrastructuur van de aanvallers, inclusief een actieve GitHub-opslagplaats, wat wijst op het potentieel voor verdere malwareverspreiding via nietsvermoedende packages.
Voordelen:
– Het artikel geeft bewustzijn over de voortdurende malwarecampagne die Roblox-ontwikkelaars via npm-packages target.
– Het benadrukt het belang van voorzichtigheid en het grondig controleren van packages voordat ze in projecten worden opgenomen om ontwikkelaars en gebruikers te beschermen tegen aanvallen via de toeleveringsketen.
Nadelen:
– Het artikel geeft geen specifieke informatie over de impact of gevolgen van de malwarecampagne op Roblox-ontwikkelaars of het Roblox-platform.
Voorgestelde gerelateerde link:
npm – Officiële website van npm, de pakketbeheerder voor JavaScript.
