محققان امنیت سایبری یک بسته مخرب در مخزن npm کشف کرده‌اند که بخشی از یک کمپین حمله به زنجیره تأمین (Supply Chain Attack) با نام MALFEX است.
جزئیات فنی بسته imgdecode
این بسته که با نام imgdecode منتشر شده، یک لودر مخرب را در قالب یک افزونه کامپایل شده Node.js مخفی کرده است. زمانی که یک برنامه Node.js در محیط کنسول ویندوز دستور require('imgdecode') را فراخوانی می‌کند، یک کتابخانه دینامیکی (DLL) فعال شده و تلاش می‌کند شل‌کد (Shellcode) رمزنگاری شده‌ای را از GitHub دانلود کند. در نهایت، این کد پس از رمزگشایی، در یک پروسه جدید dllhost.exe تزریق (Inject) می‌شود.
کمپین MALFEX و متدهای تهاجمی
کمپین MALFEX از اوت ۲۰۲۳ توسط یک عامل تهدید (Threat Actor) ناشناس برای هدف قرار دادن سیستم‌های ویندوز آغاز شده است. این عامل از چندین حساب کاربری مختلف برای انتشار بسته‌های مخرب استفاده کرده است. تحلیل‌ها نشان می‌دهد که برخی از این بسته‌ها به عنوان لودری برای Overlord RAT عمل کرده و برخی دیگر برای اجرای یک بدافزار سرقت اطلاعات (Stealer) طراحی شده‌اند.
- Runhelper: این ابزار با استخراج شل‌کد از یک فایل JPG و استفاده از ماژول Koffi (یک رابط FFI برای Node.js)، کد مخرب را در حافظه اجرا می‌کند.
- imgdecode: در نسخه‌های جدیدتر، این بسته وابستگی‌های قبلی خود را حذف کرده و به صورت مستقل عمل می‌کند تا شناسایی آن دشوارتر شود.
قابلیت‌های بدافزار و تحلیل ضد-تحلیل
این بدافزار پیش از شروع عملیات، بررسی‌های ضد-تحلیل (Anti-analysis) را اجرا می‌کند تا وجود ماشین‌های مجازی (VM)، محیط‌های Sandbox و ابزارهایی مانند Wireshark و Process Monitor را شناسایی کند. در صورت نبود این ابزارها، بدافزار اقدام به سرایت و سرقت موارد زیر می‌کند:
- عبارات بازیابی (Seed Phrases) کیف پول‌های ارز دیجیتال.
- فایل‌های حساس با پسوندهای
.kdbx،.pemو.ppk. - داده‌های مرورگرهای مبتنی بر Chromium، دیسکورد، تلگرام و اپلیکیشن‌های گیمینگ (مانند Steam و Epic Games).
علاوه بر این، بدافزار از طریق یک اتصال WebSocket به سرور فرمان و کنترل (C2) متصل شده و قابلیت‌هایی نظیر اجرای دستورات Shell، انتقال فایل، دسترسی به کلیپ‌بورد و ثبت اسکرین‌شات را فراهم می‌کند. برای ماندگاری (Persistence) در سیستم، این بدافزار یک کلید در Registry Run اضافه کرده و یک Task زمان‌بندی شده با نام MicrosoftEdgeUpdateService ایجاد می‌کند.
توصیه‌های امنیتی
توسعه‌دهندگانی که هر یک از بسته‌های ذکر شده را نصب کرده‌اند، باید سیستم‌های ویندوزی خود را به عنوان سیستم‌های آلوده در نظر گرفته، آن‌ها را ایزوله کنند، ورودی‌های Persistence را بررسی کرده و تمامی اعتبارنامه‌ها (Credentials) و کلیدهای خصوصی خود را تغییر دهند.
