Investigadores descubrieron paquetes maliciosos de npm diseñados para instalar un troyano de acceso remoto (RAT) en Windows. Estos paquetes imitan herramientas legítimas para engañar a los usuarios y pueden robar credenciales de Chrome y ejecutar comandos remotos. Se recomienda eliminar cualquier paquete sospechoso y cambiar las contraseñas de inmediato.

Investigadores de ciberseguridad han descubierto un conjunto de paquetes maliciosos de npm diseñados para entregar un troyano de acceso remoto (RAT) basado en Windows.

La lista de paquetes identificados se encuentra a continuación:
* aes-decode-runner-pro (145 descargas)
* postcss-minify-selector (256 descargas)
* postcss-minify-selector-parser (615 descargas)

Todos los paquetes fueron publicados durante el último mes por un usuario de npm llamado "abdrizak https://www.npmjs.com/~abdrizak" y, al momento de escribir esto, siguen disponibles para su descarga en npm.

"Aes-decode-runner-pro y postcss-minify-selector-parser se presentan como paquetes de códec personalizados/AES por capas y dependen del legítimo postcss-selector-parser", afirmó JFrog en un análisis. "Postcss-minify-selector se presenta como un minificador de selectores PostCSS y depende de postcss-minify-selector-parser".

En cuanto a "postcss-minify-selector-parser", el nombre hace referencia a "postcss-selector-parser https://www.npmjs.com/package/postcss-selector-parser", una librería de npm ampliamente utilizada con más de 127 millones de descargas semanales. Independientemente del paquete descargado, la cadena de ataque conduce al despliegue del mismo malware de Windows.

Los paquetes vienen integrados con un dropper de JavaScript que escribe un script de PowerShell ("settings.ps1") en el disco y lo ejecuta. El script de PowerShell actúa entonces como un descargador para una carga útil de siguiente etapa recuperada de un servidor externo ("nvidiadriver[.]net") utilizando "curl.exe".

La carga útil recuperada es un archivo ZIP, del cual se extrae y ejecuta un archivo de Visual Basic Script ("update.vbs") mediante "wscript.exe". También se incluye en el archivo ZIP descargado un entorno de ejecución de Python, un cargador de Python ("loader.py") y varios módulos de extensión de Python (*.pyd) compilados mediante Nuitka.

Visual Basic se encarga de configurar el entorno de Python en el host comprometido y lanzar el script "loader.py", que luego activa la lógica central del malware. El RAT está equipado para recopilar información del host, extraer credenciales de Google Chrome, recolectar datos de extensiones de Chrome, ejecutar comandos de shell y descargar/subir archivos hacia y desde un servidor de comando y control (C2) ("95.216.92[.]207:8080").

Estas funciones se logran a través de un conjunto de módulos de extensión nativos de Python:
* config.pyd, que contiene constantes, IDs de comandos, URL del C2 y nombres de claves del registro
* api.pyd, que gestiona el intercambio de paquetes HTTP con el C2
* audiodriver.pyd, que gestiona el bucle principal de orquestación del RAT
* command.pyd, que perfila el host, realiza comprobaciones de máquinas virtuales (VM), transferencia de archivos y ejecución de shell
* auto.pyd, que realiza el robo de credenciales y extensiones de Chrome, evadiendo las protecciones de cifrado vinculado a la aplicación (ABE)
* util.pyd, que actúa como ayudante de archivos tar/gzip

"Este caso muestra cómo un pequeño paquete similar a un analizador puede ocultar una carga útil de Windows de múltiples etapas mientras parece relacionado con herramientas de construcción legítimas con un uso semanal masivo", dijo JFrog. "Para los defensores, la lección importante es tratar las dependencias de construcción similares como posibles mecanismos de entrega, y no solo como ruido inofensivo en el nombre".

Otros ataques al ecosistema npm y typescript

El descubrimiento coincide con otras tres campañas dirigidas al ecosistema npm y TypeScript:
* Un paquete malicioso llamado "apintergrationpost https://safedep.io/malicious-apintergrationpost-npm-myra-rat/" que entrega un RAT de Linux completo llamado MYRA, mientras afirma ser un cliente de integración de Node.js para ejercicios autorizados de red team. "Compila un rootkit nativo de C durante la instalación, establece tres mecanismos de persistencia independientes, se hace pasar por un servicio de systemd, soporta la ejecución sin archivos y proporciona acceso interactivo a la shell con transmisión de pantalla en vivo", señaló SafeDep.
* Un paquete malicioso llamado "@withgoogle/stitch-sdk https://safedep.io/withgoogle-stitch-sdk-scope-squat-credential-harvester/" que suplanta la herramienta de diseño de IA Stitch de Google, pero posee capacidades para robar credenciales de desarrolladores de ocho fuentes (Claude Code, git config, ~/.git-credentials, claves públicas SSH, GitHub CLI, npm config, ~/.npmrc y ~/.docker/config.json) y las exfiltra a un dominio controlado por el atacante ("stitch-production[.]org/api/v1").
* Un grupo de cinco paquetes https://safedep.io/procwire-npm-windows-dropper-campaign/ ("procwire", "routecraft", "endpointmap", "bytecraft" y "staticlayer") que entrega un binario dropper en hosts de Windows desde un servidor externo y lo ejecuta durante el "npm install". El paquete "routecraft" enumera a "procwire" como dependencia, mientras que este último enumera a "endpointmap" y "bytecraft". El último paquete, "staticlayer", está diseñado para ejecutarse en el servidor y entregar archivos a un cliente que presente el User-Agent exacto del dropper.

Se aconseja a los usuarios que hayan instalado cualquiera de los paquetes anteriores que los eliminen inmediatamente, borren cualquier rastro creado por ellos y cambien las credenciales de las máquinas de desarrollo afectadas.

Los hallazgos también coinciden con un ataque a la cadena de suministro https://safedep.io/astro-config-blockchain-c2-supply-chain/ dirigido a la herramienta de grafo de conocimiento "gonex-AI/Understand-Anything https://github.com/Egonex-AI/Understand-Anything" para impulsar una carga útil maliciosa que "se comunica con uno de tres servidores C2 preconfigurados, exfiltra un marcador de campaña, descifra mediante XOR y evalúa un cliente bot descargado, y luego resuelve independientemente un comando de segunda etapa desde una dirección de blockchain Tron cuya transacción más reciente codifica un hash de transacción BSC que lleva la carga útil activa".

La actividad se solapa con una operación de cadena de suministro de Corea del Norte llamada PolinRider, que ha sido observada inyectando JavaScript ofuscado en los archivos de configuración de desarrolladores legítimos en casi 2,000 repositorios de GitHub comprometidos para entregar un descargador y robador de malware conocido como BeaverTail, que luego allana el camino para el backdoor InvisibleFerret.

"Este ataque combina tres cosas que individualmente son familiares pero que juntas abren una brecha de detección: una descripción de PR falsa elaborada con evidencia de prueba fabricada, un diff que oculta su carga útil en espacios en blanco horizontales y un C2 de dos etapas donde la segunda etapa utiliza la infraestructura pública de blockchain como un relé de escritura única y lectura universal", afirmó SafeDep.

Fuente:
THN