Κακόβουλοι παράγοντες δημοσίευσαν νέα κακόβουλα πακέτα στον διαχειριστή πακέτων NuGet, στο πλαίσιο μιας εκστρατείας που ξεκίνησε τον Αύγουστο του 2023 και για να αποφύγουν τον εντοπισμό τους προσέθεσαν ένα νέο επίπεδο μυστικότητας.
Η εταιρεία supply chain ασφάλειας λογισμικού ReversingLabs ανέφερε ότι τα νέα πακέτα, περίπου 60 στον αριθμό, τα οποία έχουν επεκταθεί σε 290 εκδόσεις, επιδεικνύουν μια πιο συγκεκριμένη προσέγγιση σε σχέση με το προηγούμενο σύνολο που αποκαλύφθηκε τον Οκτώβριο του 2023.
Διαβάστε ακόμη: CocoaPods: Εκθέτουν τις εφαρμογές iOS και macOS σε supply chain επιθέσεις
Οι χάκερς μετέβησαν από τη χρήση των MSBuild του NuGet σε μια στρατηγική που χρησιμοποιεί ασαφή προγράμματα λήψης. Αυτά εισάγονται σε νόμιμα δυαδικά αρχεία PE χρησιμοποιώντας την τεχνική προγραμματισμού .NET Intermediary Language (IL) Weaving, που επιτρέπει την τροποποίηση του κώδικα μιας εφαρμογής μετά τη μεταγλώττιση, όπως εξήγησε ο ερευνητής ασφαλείας Carlo Zanki.
Ο τελικός στόχος αυτών των κακόβουλων πακέτων, τόσο των παλαιών όσο και των νέων, είναι να παραδώσουν ένα trojan απομακρυσμένης πρόσβασης off-the-shelf, ονομαζόμενο SeroXen RAT. Όλα τα πακέτα που εντοπίστηκαν έχουν αφαιρεθεί από τότε.
Η τελευταία συλλογή πακέτων διακρίνεται από τη χρήση μιας νέας τεχνικής, γνωστής ως Weaving IL, που επιτρέπει την εισαγωγή κακόβουλου κώδικα σε ένα δυαδικό αρχείο Portable Executable (PE) .NET, το οποίο συνδέεται με ένα νόμιμο πακέτο NuGet. Αυτό περιλαμβάνει τη λήψη δημοφιλών πακέτων ανοιχτού κώδικα, όπως το Guna.UI2.WinForms, και την επεξεργασία τους με την μέθοδο που αναφέρθηκε παραπάνω για τη δημιουργία ενός ψεύτικου πακέτου με την ονομασία “Gσοa.UI3.Wіnfօrms”, χρησιμοποιώντας ομόγλυφα για να αντικαταστήσει τα γράμματα “u”, “n,” “i,” και “o” με τα ισοδύναμά τους “σ” (\u057D), “ο” (\u0578), “ι” (\u0456), και “ο” (\u0585).
Δείτε περισσότερα: Οι άγνωστοι κίνδυνοι του Software Supply Chain
“Οι φορείς απειλών εξελίσσουν συνεχώς τις μεθόδους και τις τακτικές τους για να συμβιβάσουν και να μολύνουν τα θύματά τους με κακόβουλο κώδικα, ο οποίος χρησιμοποιείται για την εξαγωγή ευαίσθητων δεδομένων ή για να παρέχει στους χάκερς τον έλεγχο των IT περιουσιακών στοιχείων,” δήλωσε ο Carlo Zanki.
Αυτή η τελευταία εκστρατεία υπογραμμίζει νέους τρόπους με τους οποίους κακόβουλοι παράγοντες εξαπατούν προγραμματιστές και ομάδες ασφαλείας, ώστε να κατεβάσουν και να χρησιμοποιήσουν κακόβουλα ή τροποποιημένα πακέτα από δημοφιλείς open-source διαχειριστές πακέτων, όπως το NuGet.
Πηγή: thehackernews
