Roblox开发人员受到恶意npm包的供应链攻击

阅读量24656

发布时间 : 2024-11-11 14:36:53

x
译文声明

本文是翻译文章,文章原作者 do son,文章来源:securityonline

原文地址:https://securityonline.info/roblox-developers-targeted-in-supply-chain-attack-with-malicious-npm-packages/

译文仅供参考,具体内容表达以及含义原文为准。

Skuld infostealer

Socket 的威胁研究团队最近发现了针对 Roblox 开发者社区的新攻击。威胁行为者分发了五个恶意 npm 软件包,包括 node-dlls、ro.dll 和 rolimons-api,这些软件包伪装成平台上开发者广泛使用的合法工具。这次攻击的目的是让开发人员感染 Skuld 信息窃取程序和 Blank Grabber 恶意软件,这些软件包在被删除前已被下载了 320 多次。

攻击者依靠错别字,使用具有欺骗性的软件包名称来冒充可信软件包。例如,他们模仿流行的 node-dll 软件包,发布了一个外观相似的 node-dlls 软件包,而类似的 rolimons-api 软件包则是针对 Roblox 数据集成的著名 API。根据 Socket 的报告,“恶意 npm 软件包包含经过混淆的 JavaScript 代码,旨在从外部源下载和执行恶意可执行文件”。这种混淆使攻击者得以隐藏其恶意意图,并利用毫无戒心的开发人员对熟悉名称的信任。

一旦安装,代码就会执行一系列命令,下载和部署托管在 GitHub 上的恶意软件,而 GitHub 是开发者的常用平台,可以帮助恶意软件绕过安全过滤器。

用 Go 语言编写的 Skuld 信息窃取程序以 Roblox 开发人员的系统为目标,提取敏感信息。Socket 报告说,Skuld “采用了逃避调试、禁用防病毒保护和提升权限的技术,从而可以捕获凭证、cookie 和财务信息”。第二款恶意软件 Blank Grabber 是一款基于 Python 的工具,主要用于窃取 Discord 令牌、浏览器数据甚至加密货币钱包信息。它还包括一个图形用户界面生成器,允许威胁行为者定制其功能,并有可能逃避检测。

为了传递窃取的数据,该恶意软件使用了 Discord webhooks 和 Telegram,这使得检测工作变得更加复杂,因为这两个平台都是可信平台。Socket 的分析强调,“如果平台开发者出于合法目的使用 Discord 和 Telegram 进行 C2 通信,会使检测工作复杂化”。通过利用这些渠道,攻击者可以避免触发传统的安全警报,从而提高攻击的有效性。

Socket 建议开发人员采取积极主动的安全措施,定期监控 npm 软件包是否有被篡改的迹象,并仔细核实软件包名称以避免错字抢注攻击。用他们的话说,“威胁行为者利用信任和人为错误,模仿受信任的软件包,将恶意代码引入应用程序”。

本文翻译自securityonline 原文链接。如若转载请注明出处。
分享到:微信
+10赞
收藏
安全客
分享到:微信

发表评论

内容需知
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 三六零数字安全科技集团有限公司 安全客 All Rights Reserved 京ICP备08010314号-66