خبرکاو:

ReversingLabs یک توصیه برای به اشتراک گذاشتن جزئیات یک بسته مخرب کشف شده در PyPI (شاخص بسته Python) در حین انجام یک بازرسی معمولی از مخازن منبع باز منتشر کرد .

محققان Lucija Valentic و Karlo Zanki بيان کرد ند که بسته مخرب با نام Aabquerys در مخزن منبع باز JavaScript NPM کشف شده است و می تواند بارهای بدافزار مرحله دوم و سوم را بر روی سیستم های آلوده دانلود کند.

Typosquatting - یک تهدید رو به رشد

Aabquerys از تکنیک typosquatting برای تشویق دانلود مؤلفه‌های مخرب استفاده می‌کند، زیرا نام آن هوشمندانه است تا شبیه ماژول NPM قانونی Abquery باشد. بسته مخرب حاوی دو فایل بود که یکی از آنها از طریق یک مبهم جاوا اسکریپت مبهم شده بود.

از آنجایی که اینجا هستید، به یاد داشته باشید " این Google.com است، نه ɢoogle.com ."

«در مورد aabquerys، کد مبهم مورد بحث به راحتی حذف شد. در این پست مشاوره/وبلاگ آمده است که فایلی با رفتار بدخواهانه آشکار شد.

Valentic و Zanki اظهار می دارند که این یک مسئله مهم است زیرا کدهای منبع باز برای همه قابل مشاهده است، پس تحلیل تلاش برای پنهان کردن یا پنهان کردن چنین عملکردی در یک ماژول منبع باز ضروری است.

تجزیه و تحلیل بسته Aabquerys

Aabquerys می‌تواند بارهای بدافزار مرحله دوم و سوم را روی دستگاه‌های آلوده از یک سرور راه دور دانلود کند. همچنین حاوی یک باینری پراکسی Avast (wscproxy.exe) است که در برابر حملات بارگذاری جانبی DLL آسیب پذیر است.

مرحله سوم به عنوان Demon.bin شناخته می شود که دارای عملکردهای RAT معمولی است که با استفاده از یک چارچوب C2 منبع باز پس از بهره برداری به نام Havoc که توسط C5pider ایجاد شده است، تولید می شود.

یک مسئله نگران کننده این است که نویسنده Aabquerys نسخه های مختلفی از Aabquerys، یعنی aabquery و nvm jquery را منتشر کرد که می تواند نسخه های قبلی Aabquerys باشد.

پس از کشف، بسته Aabquerys به سرعت از مخزن NPM حذف شد. با این وجود، یافته‌ها تهدید فزاینده بسته‌های مخرب پنهان شده در مخازن منبع باز مانند PyPI، GitHub و NPM را برجسته می‌کند که می‌تواند پیامدهای نامطلوب پایداری برای زنجیره تامین نرم‌افزار داشته باشد.

اخبار مرتبط

Typosquatting: 700 کتابخانه در مخزن Ruby تروجانیزه شده است

Typosquatting: بسته های مخرب آدرس های کریپتو را تعویض می کنند

Typosquatting: مخازن رسمی پایتون با بدافزارها مواجه هستند

خبرکاو