Aggiornamenti recenti Maggio 9th, 2024 10:21 AM
Set 25, 2023 Marina Londei Attacchi, Minacce, News, RSS 0
Il team di sicurezza di Sonatype ha individuato una nuova campagna che sfrutta i pacchetti npm per ottenere le configurazioni Kubernetes e le chiavi SSH.
I ricercatori hanno identificato 14 pacchetti che imitavano librerie JavaScript e componenti come plugin ESLint o tool TypeScript SDK; dopo l’installazione, i pacchetti eseguivano codice offuscato volto a sottrarre le informazioni sensibili del dispositivo target e inviarlo agli attaccanti.
I pacchetti sono stati pubblicati in gruppi da diversi account e tutti condividevano il dominio “app.threatest.com”. Il dominio era legato a due indirizzi IP Cloudflare dai quali non è stato possibile risalire all’attaccante. I commenti degli script erano scritto in mandarino; ciò fornisce un’indicazione sulla provenienza dell’attaccante, ma non sulla sua identità.
Alcuni pacchetti contenevano parti di codice e script provenienti da altri package open-source autentici, ma avevano anche un file index.js che eseguiva del codice offuscato. In altri casi, specialmente in versioni più vecchie dei pacchetti, il payload d’attacco era scritto in chiaro.
Oltre alle configurazioni Kubernetes e alle chiavi SSH, i pacchetti npm collezionavano anche informazioni come lo username, l’indirizzo IP e l’hostname del sistema.
I ricercatori sottolineano che, ottenendo le configurazioni di Kubernetes, gli attaccanti potrebbero sfruttare le recenti vulnerabilità della piattaforma per attaccare i cluster non ancora aggiornati. Le tre vulnerabilità, scoperte da Akamai, consentono a un cybercriminale di eseguire codice con privilegi di amministratore su tutti gli endpoint Windows dei cluster.
Il team di Sonatype ha subito notificato la presenza di pacchetti malevoli agli amministratori del registro npm che hanno provveduto a toglierli dalla piattaforma. È possibile che il gruppo continui la propria attività e pubblichi nuovi pacchetti, quindi i ricercatori e gli admin di npm rimangono in allerta.
L’indicazione è come sempre quella di scaricare e installare soltanto pacchetti provenienti da publisher riconosciuti e con un numero elevato di download. Si consiglia anche di utilizzare strumenti per la scansione dei pacchetti, per individuare eventuali payload malevoli.
Mar 15, 2024 0
Mar 15, 2024 0
Nov 24, 2023 0
Ott 30, 2023 0
Mag 09, 2024 0
Mag 08, 2024 0
Mag 08, 2024 0
Mag 07, 2024 0
Mag 09, 2024 0
I sistemi Linux stanno diventando sempre più popolari e...Mag 08, 2024 0
Le aziende italiane continuano a essere uno degli obiettivi...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft: tra...Mag 06, 2024 0
Gli scanner di vulnerabilità, ovvero i software usati per...Mag 03, 2024 0
Sempre più spesso si discute delle crescenti capacità...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Mag 09, 2024 0
I sistemi Linux stanno diventando sempre più popolari e...Mag 08, 2024 0
Le aziende italiane continuano a essere uno degli obiettivi...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 07, 2024 0
A fine aprile i ricercatori di Kandji, piattaforma perMag 07, 2024 0
Gli attacchi di phishing non si fermano e i marchi...