Aggiornamenti recenti Luglio 26th, 2024 2:16 PM
Set 25, 2023 Marina Londei Attacchi, Minacce, News, RSS 0
Il team di sicurezza di Sonatype ha individuato una nuova campagna che sfrutta i pacchetti npm per ottenere le configurazioni Kubernetes e le chiavi SSH.
I ricercatori hanno identificato 14 pacchetti che imitavano librerie JavaScript e componenti come plugin ESLint o tool TypeScript SDK; dopo l’installazione, i pacchetti eseguivano codice offuscato volto a sottrarre le informazioni sensibili del dispositivo target e inviarlo agli attaccanti.
I pacchetti sono stati pubblicati in gruppi da diversi account e tutti condividevano il dominio “app.threatest.com”. Il dominio era legato a due indirizzi IP Cloudflare dai quali non è stato possibile risalire all’attaccante. I commenti degli script erano scritto in mandarino; ciò fornisce un’indicazione sulla provenienza dell’attaccante, ma non sulla sua identità.
Alcuni pacchetti contenevano parti di codice e script provenienti da altri package open-source autentici, ma avevano anche un file index.js che eseguiva del codice offuscato. In altri casi, specialmente in versioni più vecchie dei pacchetti, il payload d’attacco era scritto in chiaro.
Credits: Milkos- Depositphotos
Oltre alle configurazioni Kubernetes e alle chiavi SSH, i pacchetti npm collezionavano anche informazioni come lo username, l’indirizzo IP e l’hostname del sistema.
I ricercatori sottolineano che, ottenendo le configurazioni di Kubernetes, gli attaccanti potrebbero sfruttare le recenti vulnerabilità della piattaforma per attaccare i cluster non ancora aggiornati. Le tre vulnerabilità, scoperte da Akamai, consentono a un cybercriminale di eseguire codice con privilegi di amministratore su tutti gli endpoint Windows dei cluster.
Il team di Sonatype ha subito notificato la presenza di pacchetti malevoli agli amministratori del registro npm che hanno provveduto a toglierli dalla piattaforma. È possibile che il gruppo continui la propria attività e pubblichi nuovi pacchetti, quindi i ricercatori e gli admin di npm rimangono in allerta.
L’indicazione è come sempre quella di scaricare e installare soltanto pacchetti provenienti da publisher riconosciuti e con un numero elevato di download. Si consiglia anche di utilizzare strumenti per la scansione dei pacchetti, per individuare eventuali payload malevoli.
Giu 14, 2024 0
Mar 15, 2024 0
Mar 15, 2024 0
Nov 24, 2023 0
Lug 26, 2024 0
Lug 26, 2024 0
Lug 25, 2024 0
Lug 25, 2024 0
Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa per...Lug 24, 2024 0
Con l’obiettivo di assicurare un adeguato livello di...Lug 23, 2024 0
Le password sono ormai universalmente riconosciute come un...Lug 23, 2024 0
Sembra un numero fin troppo elevato, ma è tutto vero:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 26, 2024 0
Tanti videogiocatori si affidano ai cheat per avere più...Lug 25, 2024 0
I ricercatori di ESET hanno scoperto EvilVideo, una...Lug 25, 2024 0
Daggerfly, gruppo di cybercriminali cinesi conosciuto anche...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa...