Il famigerato gruppo APT Lazarus, ritenuto essere collegato alla Corea del Nord, ha lanciato una nuova ondata di attacchi mirati all’ecosistema npm.
Questi nuovi attacchi rappresentano una delle più significative compromissioni della catena di fornitura software dell’anno, potenzialmente in grado di influenzare milioni di applicazioni e siti web.
I pacchetti npm dannosi sono una minaccia efficace poiché gli sviluppatori, di solito, non controllano in dettaglio i pacchetti open source e gli attaccanti, sfruttando questa mancanza di attenzione inserendo codice dannoso nelle dipendenze, fanno in modo che il malware si propaghi ogni volta che uno sviluppatore installa o aggiorna il pacchetto.
Indice degli argomenti
I pacchetti npm compromessi
In particolare, sono stati compromessi sei pacchetti npm popolari, con codice dannoso progettato per rubare le credenziali di accesso da sviluppatori e organizzazioni in tutto il mondo.
I pacchetti coinvolti già scaricati circa 330 volte con nomi molto simili alle librerie legittime (un segno distintivo delle tattiche di typosquatting) sono stati scoperti dai ricercatori di sicurezza informatica del Socket Research Team.
Fonte: Socket Research Team.
Secondo il rapporto, inoltre, per cinque dei pacchetti in oggetto, sarebbero stati creati dei repository GitHub, aumentando la probabilità che il codice dannoso venga integrato nei flussi di lavoro degli sviluppatori, fortunatamente rimossi dopo la segnalazione fatta dai ricercatori.
Dettagli dell’attacco
Il gruppo Lazarus ha in pratica utilizzato tecniche sofisticate per mascherare il codice malevolo e renderne difficile l’identificazione.
Questa strategia di attacco sfrutta la fiducia degli sviluppatori nei pacchetti npm popolari, inducendoli a scaricare inconsapevolmente software dannoso. I pacchetti sono stati compromessi con codice malevolo che tra l’altro attiva il furto di credenziali al momento dell’installazione.
Il malware incorporato (BeaverTail) con targeting multipiattaforma (Windows, macOS e Linux) carpirebbe i dettagli di sistema e password archiviate nei profili dei browser come Chrome, Brave e Firefox.
Il malware prenderebbe anche di mira i wallet di criptovaluta (Solana, Exodus) e installerebbe la backdoor di seconda fase InvisibleFerret, per mantenere un accesso persistente al sistema compromesso.
Impatto potenziale e protezione
L’impatto di questo attacco potrebbe essere devastante. Le credenziali rubate potrebbero essere utilizzate per ottenere accesso non autorizzato a sistemi critici, compromettere ulteriormente la sicurezza delle organizzazioni e lanciare attacchi su larga scala.
L’attacco del gruppo Lazarus ai pacchetti npm evidenzia ancora una volta l’importanza della sicurezza della catena di fornitura software. È essenziale che sviluppatori e organizzazioni adottino misure preventive per proteggere i propri sistemi.
Per mitigare i rischi posti dagli attacchi alla supply chain gli sviluppatori e le organizzazioni dovrebbero implementare pratiche di sicurezza rigorose:
- Verifica dei pacchetti: controllare sempre la provenienza e la sicurezza dei pacchetti npm prima di installarli.
- Monitoraggio: utilizzare strumenti di monitoraggio della sicurezza per rilevare comportamenti sospetti.
- Aggiornamenti e patch: mantenere sempre aggiornati i software e applicare le patch di sicurezza tempestivamente.
- Sicurezza multilivello: implementare sandboxing, protezione degli endpoint e blocco delle connessioni in uscita sospette.
- Implementare l’audit automatico delle dipendenze e la revisione del codice per analizzare pacchetti di terze parti alla ricerca di vulnerabilità.
- Educazione e formazione: sensibilizzare gli sviluppatori sui rischi della sicurezza informatica e sulle migliori pratiche per prevenirli e istruire i team sul typosquatting.
“Riteniamo che Lazarus e altri avversari avanzati continueranno a perfezionare le loro tattiche di infiltrazione. È probabile che le tecniche di offuscamento si evolvano, incorporando metodi di occultamento del codice più sofisticati e un’integrazione più profonda nei flussi di lavoro di sviluppo legittimi. Gli attori delle minacce potrebbero anche ampliare il loro targeting a pacchetti ed ecosistemi aggiuntivi per espandere la loro portata tra gli sviluppatori, rendendo il rilevamento precoce e la scansione delle dipendenze contestuali più critici che mai.”, conclude Kirill Boychenko del Socket Research Team.
