Un nuevo malware llamado IronWorm ha infectado 36 paquetes de npm para robar credenciales de AWS, OpenAI y billeteras de criptomonedas. Escrito en Rust, el programa se autopropaga robando claves de publicación para comprometer otros paquetes y entornos de desarrollo. Expertos recomiendan actualizar los paquetes afectados, rotar claves y activar la autenticación de dos factores (2FA).



Un nuevo ataque a la cadena de suministro ha infectado 36 paquetes en el índice del Administrador de Paquetes de Node (npm) con un malware de robo de información llamado IronWorm.

El malware tiene como objetivo 86 variables de entorno (pares clave-valor) y 20 archivos de credenciales que pueden contener credenciales de OpenAI, AWS, Anthropic y npm, archivos de configuración de vault, claves SSH y archivos de carteras de criptomonedas Exodus.

Según los investigadores de la empresa de devops y cadena de suministro JFrog, IronWorm está escrito en Rust, se oculta tras un rootkit del kernel eBPF y se comunica con el operador a través de la red Tor.

El malware basado en Rust se autopropaga utilizando credenciales robadas para publicar en npm; esto incluye secretos asociados con el flujo de trabajo de Publicación Confiable de npm.

Una vez que compromete a un desarrollador o un entorno de CI, puede publicar versiones trojanizadas de paquetes propiedad de la víctima, que luego infectan a desarrolladores y sistemas de CI adicionales.

Este comportamiento es conceptualmente similar a Shai Hulud, cuyo código fue publicado recientemente en GitHub. Aunque los investigadores de JFrog no encontraron una conexión clara entre IronWorm y Shai Hulud, observaron los mismos nombres de commit en ambos ataques a la cadena de suministro.

Esto abre la posibilidad de que el nuevo malware sea una evolución de la carga útil de TeamPCP, ya que IronWorm parece ser "un implante personalizado, cuidadosamente construido de una operación con su propia infraestructura".

Según JFrog, el último ataque comenzó desde una cuenta comprometida llamada ‘asteroiddao’, que publicó versiones de paquetes que contenían el binario ELF de Rust ejecutado a través de ‘preinstall’, enviando commits maliciosos a los repositorios.

El autor del commit aparece como “claude” y las marcas de tiempo apuntan a hace varios años, hasta 13 años en algunos casos, a pesar de que fueron enviados en los últimos días. Esto es probablemente para evadir la investigación.

Un elemento notable en los hallazgos de JFrog (hallazgos de JFrog) es un mecanismo que depende de GitHub Actions para entregar los secretos robados. JFrog explica que el malware serializa los secretos en un único valor y luego "lo escribe en un archivo con un nombre aparentemente inofensivo, como si fuera una salida de lint o de formato".

El último paso del proceso es cargar el archivo como un artefacto de compilación, que puede ser descargado por cualquier persona con acceso. De esta manera, el actor de la amenaza puede evitar por completo la necesidad de un comando y control (C2) externo.

Sin embargo, los investigadores señalan que este mecanismo de entrega no se ha utilizado en el ataque de cadena de suministro de IronWorm analizado.

Otra peculiaridad descubierta es que el operador codificó la frase de recuperación de su propia cartera de criptomonedas. Los investigadores dicen que la única razón para esto es que el actor de la amenaza no quería que el malware la robara durante la etapa de prueba.

La empresa de seguridad de aplicaciones Ox Security (Ox Security blog) afirma que el ataque de IronWorm fue detectado muy pronto y detenido antes de que se extendiera a paquetes más populares en npm.

La empresa proporciona una lista de todos los nombres de paquetes afectados y sus versiones en el informe y recomienda que los desarrolladores actualicen a versiones corregidas, roten sus claves y habiliten la autenticación de dos factores (2FA) para todas las cuentas.

Al mismo tiempo, Endor Labs (Endor Labs) y StepSecurity (StepSecurity) han detectado un ataque muy similar pero distinto que involucra un malware basado en JavaScript llamado binding.gyp, que realiza el envenenamiento del registro y la infección de GitHub Actions, desarrollándose durante el mismo período de tiempo.

Fuente:
BleepingComputer