ROBLOX kütüphaneleri gibi davranan kötü amaçlı NPM paketleri, şüphesiz kullanıcılara fidye yazılımı ve şifre çalan truva atlarını sunar.
İki NPM paketi noblox.js-proxy ve noblox.js-proxy'ler olarak adlandırılır ve Kütüphanenin adındaki tek bir harfi değiştirerek NOBLOX.JS-Proxied adlı meşru Roblox API sarmalayıcı gibi davranmak için yazım hatası kullanın.
Açık kaynaklı güvenlik firması sonatype tarafından BleepingComputer tarafından daha fazla analizle olan yeni bir raporda, bu kötü amaçlı NPM'ler, ünlü Goldeneye Ransomware, Trollware ve Truva'yı çalan bir şifre olan bir MBRLOCKer fidye yazılımını bulaştırıyor.
Her iki kötü niyetli NPM kütüphanesi de o zamandan beri alındı ve artık mevcut değil.
Kötü amaçlı NPM kütüphaneleri bir projeye eklendikten ve başlatıldıktan sonra, kütüphane bir PostInstall.js komut dosyası yürütecektir. Bu komut dosyası normalde bir kütüphane yüklendikten sonra meşru komutları yürütmek için kullanılır, ancak bu durumda, mağdurların bilgisayarlarında kötü amaçlı bir faaliyet zincirine başlar.
Aşağıda gördüğünüz gibi, PostInstall.js komut dosyası, güvenlik araştırmacıları ve yazılımı tarafından analizleri önlemek için çok şaşırtıcıdır.
Yürütüldüğünde, komut dosyası aşağıda gösterilen 'nobox.bat' adlı ağır şaşkın toplu iş dosyasını başlatır.
Bu toplu iş dosyası SonAtype Security Researcher Juan Aguirre tarafından kodu çözüldü ve anlaşmazlıklardan çeşitli kötü amaçlı yazılımları indirecek ve Fodhelper.exe uac bypass'ın yardımıyla onları başlatacak.
NOBLOX.BAT toplu iş dosyası tarafından indirilen dosyalar, yüklü oldukları sırayla, virüsten bağlantıları ve eylemlerinin bir açıklaması ile birlikte listelenmiştir.
Özel ilginin, bir MBRLOCKer'i 'Canavar Ransomware'i çağıran bir MBRLocker'ı kuran' Tunamor.exe 'çalıştırılabilir.
Yürütüldüğünde, Ransomware, bilgisayarın zorunlu bir yeniden başlatılmasını gerçekleştirir ve ardından sistemin sahte bir chkdsk'ini görünecektir. Bu işlem sırasında, Ransomware, bilgisayardaki diskleri şifreleyiz.
Bittiğinde, bilgisayarı yeniden başlatacak ve aslen Petya / Goldeneye Ransomware ailelerinde bulunan bir kafatası ve crossbones kilit ekranı görüntüleyecektir.
ENTER tuşuna bastıktan sonra, kurban, sabit disklerinin şifrelenmiş olduğunu belirten bir ekran gösterilir ve şimdi bir fidye ödemek için http://monste3rxfp2f7g3i.onion/ Tor sitesini ziyaret etmeleri gerektiğini belirtti.
BleepingComputer, bilgisayarın şifresini çözmek için geçerli bir anahtar olarak kabul edilen 'QVWAOFRW5NBLA8GJ' dizesini keşfetti. Bununla birlikte, anahtar kabul edilirken ve fidye yazılımları bilgisayarın şifresini çözdüğü durumlarda, Windows daha sonra başlayamaz.
Sabit diskin sürücüsünün doğru şekilde şifresini çözmek için bu tuşa ek bir dize eklenmesi gerektiği belirsizdir veya bu program sadece sistemleri yok etmek için tasarlanmış bir silecek.
Bu fidye yazılımı yaygın görünmüyor ve yalnızca bu NPM paketleri aracılığıyla dağıtıldığı bilinmektedir.
000.exe Trollware'in faaliyetine ve canavar fidarı eşyasının garip davranışına dayanarak, bu paketlerin bir fidye talebi oluşturmak yerine bir sistemi yok etmek için tasarlanması muhtemeldir.
Arz zinciri saldırılarında kullanılan kötü amaçlı NPM'ler, bunun gibi, daha yaygın hale geliyor.
SonAtype son zamanlarda Cryptominer'ları Linux ve Windows cihazlarında dağıtmak için kullanılan üç kötü amaçlı NPM kütüphanesini keşfetti.
Geçtiğimiz Cuma, çok popüler UA-PARSER-JS NPM kütüphanesi, kullanıcıları madenciler ve şifre çalan truva atlarını bulaştırmak için kaçırıldı.
Kaynak: Bleeping Computer