پژوهشگران امنیت سایبری از شناسایی یک بسته مخرب در مخزن npm به نام tw-pkgprobe-7731 خبر دادند. این بسته با جعل هویت به عنوان یک ابزار امنیتی برای توسعه‌دهندگانی که از سرویس‌های Twilio استفاده می‌کنند، تلاش می‌کند داده‌های حساس و اعتبارنامه‌ها (Credentials) را سرقت کند.
جزئیات عملیات و تکامل بدافزار
این بسته در اواسط آگوست ۲۰۲۶ توسط حسابی به نام twdepprobe7731 منتشر شد. در یک بازه زمانی کوتاه ۴۵ دقیقه‌ای، ۱۱ نسخه مختلف از این بسته منتشر گردید. در نسخه‌های اولیه، این ابزار خود را به عنوان یک «کاوشگر مجاز برای برنامه Bug-Bounty در HackerOne» معرفی می‌کرد تا اعتماد توسعه‌دهندگان را جلب کند.
روال عملکرد این بدافزار به شرح زیر است:
- بررسی محیط: ابتدا چک می‌کند که آیا محیط فعلی یک محیط توسعه Twilio است یا خیر؛ در صورت عدم تطبیق، برنامه متوقف می‌شود.
- استخراج داده‌ها: در صورت تایید محیط، متغیرهای محیطی (Environment Variables)، جزئیات سیستم، پوشه‌های موقت و پیکربندی‌ها را استخراج کرده و از طریق یک Webhook ارسال می‌کند.
- تزریق کد: در نسخه‌های ۱.۰.۱ تا ۱.۰.۳، بدافزار به دنبال شناسه‌های حساب (SIDs) می‌گشت و در صورت یافتن پوشه‌های هدف، یک بسته PoC سفارشی را در
node_modulesتزریق می‌کرد. - سرقت اعتبارنامه‌ها: در نسخه ۱.۰.۴، قابلیت استخراج
ACCOUNT_SIDوAUTH_TOKENاضافه شد که به مهاجم اجازه می‌دهد دسترسی کامل به حساب Twilio قربانی، مدیریت صورت‌حساب و ارسال پیام‌ها را به دست آورد.
تحلیل نهایی و اهداف
نسخه‌های نهایی این بسته (۱.۰.۸ تا ۱.۱.۱) دوباره به حالت ساده بازگشته و قابلیت‌های تخریبی قبلی را حذف کردند، اما در عوض شروع به جمع‌آوری اطلاعات از طریق OSINT و بررسی میزبان‌های مرتبط با Twilio و استخراج متادیتای AWS کردند.
تحلیلگران ReversingLabs اشاره می‌کنند که اگرچه مهاجم سعی کرده فعالیت‌های خود را پشت پوشش تحقیقات امنیتی پنهان کند، اما این اقدامات کاملاً با دستورالعمل‌های برنامه Bug-Bounty شرکت Twilio در HackerOne در تضاد است. همچنین، عدم استفاده از تکنیک‌های پیچیده مانند Obfuscation یا Typosquatting نشان می‌دهد که احتمالاً یک مهاجم با سطح مهارت پایین پشت این عملیات بوده است.
