Загрузчик, связанный с PolinRider, получает адрес C2 через Ethereum

Исследователи выявили вредоносные версии легитимных пакетов npm, связанные с семейством вредоносного ПО PolinRider. В них встроен скрытый загрузчик, который запускается при импорте пакета.

Код загрузчика маскируется с помощью JavaScript, закодированного в Base64 и выполняемого через eval(atob(...)), а также кода инициализации с перестановкой символов. Загрузчик обращается к публичным конечным точкам RPC сети Ethereum, чтобы получить IP-адрес сервера управления, закодированный в транзакции блокчейна. Затем он скачивает по HTTP JavaScript-нагрузку, обфусцированную с помощью XOR, и выполняет её.

Блокчейн служит источником сведений об инфраструктуре управления. Это позволяет злоумышленникам менять сервер доставки, не выпуская новую версию скомпрометированного пакета. Вредоносное ПО также использует интерактивный процесс Node.js, запущенный с флагом node -i, для выполнения кода в памяти. Исследователи описывают нагрузку как стиллер криптовалют. С ней связан адрес Ethereum 0x1eef0849eda15d87f64e51c73c8442cf3c8bcef3.

С вредоносным ПО связаны следующие IP-адреса:

• 103.179.143.219
• 166.88.134.75
• 23.27.13.72
• 95.135.181.151

Затронутые пакеты в совокупности загружали примерно 1 400 раз в неделю. Это число не свидетельствует о подтверждённых заражениях или выполнении полезной нагрузки.

Авторы отчёта рекомендуют проверить манифесты зависимостей и файлы блокировки версий на наличие затронутых версий и выяснить, загружался ли вредоносный код. Если код выполнялся, криптокошельки и учётные данные, доступные в этой среде, следует считать потенциально скомпрометированными.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.