Se detectó un ataque de cadena de suministro contra los paquetes de localización de Laravel Lang, donde los atacantes manipularon las etiquetas de GitHub para distribuir malware a través de Composer. El código malicioso actúa como un "credential stealer" capaz de robar claves de AWS, GitHub, secretos de Kubernetes y datos de navegadores en Windows, macOS y Linux. Se recomienda a los desarrolladores revisar sus versiones, rotar credenciales expuestas y analizar sus sistemas en busca de indicadores de compromiso.

Un ataque a la cadena de suministro dirigido a los paquetes de localización de Laravel Lang ha expuesto a los desarrolladores a una sofisticada campaña de malware para el robo de credenciales, después de que los atacantes abusaran de las etiquetas de versión de GitHub para distribuir código malicioso a través de paquetes de Composer.

Las firmas de seguridad StepSecurity, Aikido Security y Socket advirtieron sobre la vulneración el viernes, señalando que los atacantes habían reescrito las etiquetas de GitHub en cuatro repositorios mantenidos por la organización Laravel Lang, en lugar de publicar versiones maliciosas completamente nuevas.

Los paquetes afectados incluyen laravel-lang/lang, laravel-lang/http-statuses, laravel-lang/attributes y, posiblemente, laravel-lang/actions. Los paquetes de Laravel Lang son paquetes de localización de terceros y no forman parte del proyecto oficial de Laravel.

Según Aikido, los atacantes comprometieron 233 versiones en tres repositorios, mientras que Socket afirmó que aproximadamente 700 versiones históricas podrían haberse visto afectadas.

Lo que hizo destacar al ataque es que el código fuente real del proyecto no fue modificado para incluir código malicioso, sino que los atacantes abusaron de una función de GitHub que permite que las etiquetas apunten a commits en forks del mismo repositorio.

"En lugar de publicar una nueva versión maliciosa, el atacante reescribió cada etiqueta git existente en cada repositorio para que apuntara a un nuevo commit malicioso", explicó StepSecurity.

"Las reescrituras comenzaron a las 22:32 UTC contra laravel-lang/lang (el paquete insignia de traducciones de Laravel, con 502 etiquetas) y terminaron a las 00:00 UTC contra laravel-lang/actions. Los cuatro repositorios comparten la misma identidad de autor falsa, los mismos archivos modificados y el mismo comportamiento de carga útil, lo que los convierte casi con certeza en la obra de un único actor que utiliza una credencial comprometida con acceso de push a nivel de organización".

Esto permitió a los atacantes publicar lo que parecían ser etiquetas de lanzamiento legítimas para el proyecto, que en realidad conducían a commits maliciosos almacenados en un fork del repositorio controlado por el atacante.

Cuando los desarrolladores instalaban el paquete a través de Composer, este descargaba el código malicioso mientras parecía instalar versiones legítimas de Laravel Lang.


Los investigadores descubrieron que las versiones maliciosas introdujeron un archivo malicioso llamado 'src/helpers.php', que era cargado automáticamente por Composer.

Carga útil de helpers.php añadida a la sección autoload de composer.json

El código inyectado actuaba como un dropper que descargaba una segunda carga útil desde el servidor de comando y control del atacante en flipboxstudio[.]info.

La carga útil de PHP descargada (VirusTotal) era un gran robador de credenciales multiplataforma para Linux, macOS y Windows que recolecta credenciales de la nube, secretos de Kubernetes, tokens de Vault, credenciales de Git, secretos de CI/CD, claves SSH, datos del navegador, billeteras de criptomonedas, gestores de contraseñas, configuraciones de VPN y archivos de configuración local `.env`.

El malware también contiene patrones de expresiones regulares utilizados para extraer claves de AWS, tokens de GitHub, tokens de Slack, secretos de Stripe, credenciales de bases de datos, JWT, claves privadas SSH y frases de recuperación de criptomonedas de archivos y variables de entorno.

Patrones de expresiones regulares utilizados para robar secretos

En los sistemas Windows, la carga útil de PHP también extrae un ejecutable codificado en base64 (VirusTotal) incrustado en el archivo, que se escribe en la carpeta %TEMP% con un nombre de archivo .exe aleatorio y luego se lanza.

El análisis del infostealer de Windows muestra que se llama 'DebugElevator' y está diseñado para atacar Chrome, Brave y Edge, y extraer las claves de cifrado App-Bound necesarias para descifrar las credenciales almacenadas en el navegador.

Ejecutable DebugElevator

Una ruta PDB incrustada también hace referencia al nombre de cuenta de Windows 'Mero' y contiene 'claude', lo que indica potencialmente que se utilizó IA para ayudar en el desarrollo del malware de Windows.

C:\Users\Mero\OneDrive\Desktop\stuff\claude\Chromium-DebugElevator\x64\Release\DebugChromium.pdb

Los investigadores afirman que una vez extraídos los datos confidenciales, el malware los cifra y los envía de vuelta al servidor C2.

Aikido afirma que informaron del incidente a Packagist, que respondió rápidamente eliminando las versiones maliciosas y deslistando temporalmente los paquetes afectados para evitar instalaciones adicionales.

Se aconseja a los desarrolladores que utilicen los paquetes de Laravel Lang que revisen las versiones de los paquetes instalados, roten las credenciales expuestas, inspeccionen los sistemas en busca de indicadores de compromiso y, si es posible, comprueben las conexiones salientes históricas a flipboxstudio[.]info.

Fuente:
BleepingComputer