Una nueva campaña de ataques de cadena de suministro está dirigiendo su objetivo hacia los desarrolladores. El método consiste en ocultar un guion malicioso dentro de paquetes de software en GitHub que, al instalarse, descarga un binario de Linux disfrazado con un nombre de archivo similar a un proceso estándar del sistema (como SSH) para pasar desapercibido.

Una nueva campaña de ataques a la cadena de suministro está dirigiendo sus ataques silenciosamente hacia los desarrolladores a través de un método que la mayoría nunca pensaría buscar.

Oculto dentro de paquetes de software en GitHub, un script malicioso descarga un binario de Linux durante la instalación y lo disfraza utilizando un nombre de archivo diseñado para parecer un proceso estándar del sistema. El ataque ya ha afectado a más de 700 repositorios en múltiples ecosistemas.

La campaña funciona implantando un script de post-instalación dañino dentro de paquetes PHP y Node.js. Cuando instalas un paquete afectado, el script se ejecuta automáticamente sin ningún aviso visible.

Este se conecta a una cuenta de GitHub controlada por el atacante, descarga un archivo binario y lo guarda en una carpeta temporal del sistema Linux de la víctima bajo el nombre /tmp/.sshd, una ruta que imita un archivo de demonio SSH legítimo utilizado por el sistema operativo.

Investigadores de Socket.dev dijeron en un informe compartido con Cyber Security News (CSN) que identificaron esta campaña mientras investigaban un conjunto de paquetes de Packagist marcados como sospechosos.

Su escáner basado en IA detectó el comportamiento sospechoso durante la instalación, marcando los paquetes como maliciosos basándose en cómo gestionaban las descargas de binarios y la ejecución en segundo plano. Los hallazgos revelaron una campaña mucho más amplia de lo que sugería el lote inicial.

El ataque se extiende tanto por Packagist como por repositorios de proyectos de Node.js en GitHub. Los investigadores descubrieron que una cuenta de GitHub llamada parikhrpreksha servía como punto central de entrega de la carga útil.

El mismo comando de post-instalación aparecía constantemente en cientos de repositorios, todos descargando el mismo binario desde la misma URL de GitHub Releases, lo que apunta a una operación coordinada de la cadena de suministro.

Lo que hace que este ataque sea difícil de detectar es la eficacia con la que oculta su actividad. El script suprime los mensajes de error que podrían aparecer durante la instalación y ejecuta el binario descargado silenciosamente en segundo plano.

Si revisaras los registros de instalación estándar, no verías nada inusual, y el archivo disfrazado con un nombre similar a un proceso SSH se mezclaría con el sistema con pocas posibilidades de destacar.

Carga útil oculta tras un nombre de archivo similar a SSH

El núcleo de este ataque se basa en un disfraz simple pero eficaz. El script malicioso descarga un binario llamado fvbs.network desde la página de GitHub Releases del atacante y lo escribe en /tmp/.sshd en la máquina infectada.

El prefijo del punto en el nombre del archivo oculta el archivo en la mayoría de los listados de directorios estándar, mientras que el nombre .sshd hace que parezca un servicio del sistema confiable.

Una vez escrito, el binario se vuelve ejecutable mediante chmod +x y se lanza en segundo plano, cortando cualquier conexión visible con el proceso de instalación. El script utiliza curl con la verificación TLS desactivada, lo que significa que no comprueba si la fuente remota es legítima.

Para cuando el comando de instalación termina, la carga útil ya se está ejecutando silenciosamente en tu máquina. La investigación de Socket también confirmó que se enviaron commits maliciosos directamente a los repositorios originales de GitHub.

Se utilizaron versiones de seguimiento de ramas como dev-main, dev-master y dev, lo que significa que cualquier paquete de Packagist que apuntara a esas ramas descargaría automáticamente el código infectado en la siguiente actualización. Simplemente eliminar la versión del paquete afectado no era suficiente, ya que primero era necesario corregir el repositorio original.

Ganchos maliciosos extendidos por Packagist y Node.js

Los paquetes confirmados de Packagist contenían ganchos de post-instalación idénticos que apuntaban a la misma cuenta de GitHub controlada por el atacante.

En varios repositorios de Node.js, se encontró el mismo comando de entrega de la carga útil dentro de archivos de flujo de trabajo de GitHub Actions, posicionándolo para ejecutarse durante la ejecución del pipeline de CI/CD en lugar de solo en las instalaciones locales del desarrollador.

Este enfoque de vector dual significa que el ataque podría alcanzar tanto a desarrolladores individuales como a entornos de compilación automatizados.

En al menos un caso, el comando de la carga útil estaba incrustado dentro de un archivo de flujo de trabajo utilizando una dependencia llamada dependency_cache_sync, ampliando la exposición más allá de lo que un simple escaneo de paquetes detectaría.

Socket informó de todos los paquetes afectados a Packagist, que los eliminó rápidamente. Sin embargo, la naturaleza de seguimiento de ramas de muchos paquetes afectados significa que tú también deberías verificar que los repositorios originales hayan sido limpiados.

Los equipos que utilicen paquetes de Packagist con scripts PHP o herramientas basadas en Laravel deberían inspeccionar los archivos composer.json en busca de entradas de post-instalación inesperadas.

Socket recomienda buscar cualquier binario escrito en /tmp con un nombre que comience por un punto, revisar los archivos de flujo de trabajo de GitHub Actions en busca de pasos desconocidos y auditar los paquetes que siguen ramas de desarrollo en lugar de etiquetas de lanzamiento fijas.

Fuentes:
https://cybersecuritynews.com/hackers-hide-linux-payload-under-ssh-like-filename/