Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Trovati nuovi pacchetti npm malevoli che sottraggono le configurazioni di Kubernetes

Set 25, 2023 Marina Londei Attacchi, Minacce, News, RSS 0

Il team di sicurezza di Sonatype ha individuato una nuova campagna che sfrutta i pacchetti npm per ottenere le configurazioni Kubernetes e le chiavi SSH.

I ricercatori hanno identificato 14 pacchetti che imitavano librerie JavaScript e componenti come plugin ESLint o tool TypeScript SDK; dopo l’installazione, i pacchetti eseguivano codice offuscato volto a sottrarre le informazioni sensibili del dispositivo target e inviarlo agli attaccanti.

I pacchetti sono stati pubblicati in gruppi da diversi account e tutti condividevano il dominio “app.threatest.com”. Il dominio era legato a due indirizzi IP Cloudflare dai quali non è stato possibile risalire all’attaccante. I commenti degli script erano scritto in mandarino; ciò fornisce un’indicazione sulla provenienza dell’attaccante, ma non sulla sua identità.

Alcuni pacchetti contenevano parti di codice e script provenienti da altri package open-source autentici, ma avevano anche un file index.js che eseguiva del codice offuscato. In altri casi, specialmente in versioni più vecchie dei pacchetti, il payload d’attacco era scritto in chiaro.

Credits: Milkos- Depositphotos

Oltre alle configurazioni Kubernetes e alle chiavi SSH, i pacchetti npm collezionavano anche informazioni come lo username, l’indirizzo IP e l’hostname del sistema.

I ricercatori sottolineano che, ottenendo le configurazioni di Kubernetes, gli attaccanti potrebbero sfruttare le recenti vulnerabilità della piattaforma per attaccare i cluster non ancora aggiornati. Le tre vulnerabilità, scoperte da Akamai, consentono a un cybercriminale di eseguire codice con privilegi di amministratore su tutti gli endpoint Windows dei cluster.

Il team di Sonatype ha subito notificato la presenza di pacchetti malevoli agli amministratori del registro npm che hanno provveduto a toglierli dalla piattaforma. È possibile che il gruppo continui la propria attività e pubblichi nuovi pacchetti, quindi i ricercatori e gli admin di npm rimangono in allerta.

L’indicazione è come sempre quella di scaricare e installare soltanto pacchetti provenienti da publisher riconosciuti e con un numero elevato di download. Si consiglia anche di utilizzare strumenti per la scansione dei pacchetti, per individuare eventuali payload malevoli.

Condividi l'articolo

chiavi SSH, Kubernetes, librerie javascript, npm, registro npm, Sonatype

Il settore automotive abbraccia la cybersecurity: calano le vulnerabilità critiche nelle auto Scoperto Sandman, un gruppo cybercriminale che colpisce i provider di telecomunicazioni