Один из самых популярных JavaScript-пакетов для HTTP-запросов оказался троянизирован. Google через подразделение Threat Intelligence Group (GTIG) и Mandiant официально связал атаку на цепочку поставок через npm-пакет Axios с северокорейской хакерской группировкой UNC1069. Группировка финансово мотивирована и прежде всего интересуется кражей криптовалюты. По данным Google, UNC1069 действует как минимум с 2018 года, и атака на Axios стала их наиболее масштабной операцией в публичном пространстве.
Злоумышленники получили контроль над аккаунтом мейнтейнера Axios в реестре npm. За неполные 40 минут они выпустили две троянизированные версии пакета: 1.14.1 и 0.30.4. Обе ветки релизов были скомпрометированы практически одновременно, что говорит о тщательной подготовке и заранее развёрнутой инфраструктуре. Джон Хальтквист, главный аналитик GTIG, отметил, что операция показывает высокий уровень оперативной зрелости: скомпрометированные учётные данные мейнтейнера, заранее подготовленные полезные нагрузки под несколько ОС и встроенный механизм самоуничтожения следов.
Механика атаки устроена многослойно. В заражённые версии Axios была добавлена вредоносная зависимость под названием «plain-crypto-js». Этот пакет работал как транспортное средство для доставки полезной нагрузки. В его файле
Первой стадией заражения выступал SILKBELL — обфусцированный JavaScript-дроппер, замаскированный под файл
Основной бэкдор, который доставлялся на заражённые машины, получил обозначение WAVESHAPER.V2. Его предшественник, оригинальный WAVESHAPER, уже применялся UNC1069 против криптовалютных компаний — это был C++ бэкдор под macOS и Linux с сырым бинарным протоколом связи с командным сервером. Обновлённая версия перешла на JSON для коммуникации с C2 и обращается к серверу управления каждые 60 секунд. Связь между двумя версиями установили в Elastic Security Labs, которые первыми заметили пересечения в функциональности.
WAVESHAPER.V2 поддерживает четыре команды. Команда
Томислав Перичин, главный архитектор ПО в компании ReversingLabs, обратил внимание на масштабируемость операции. Техническая реализация атаки намекает на то, что аналогичные кампании могут быть развёрнуты или уже развёрнуты через другие пакетные менеджеры — PyPI и NuGet. Фактически, если одна и та же группировка применяет кросс-платформенные полезные нагрузки и понимает, как устроены процессы сборки в разных экосистемах, один npm-пакет может быть лишь верхушкой.
Среди опубликованных индикаторов компрометации (IoC): вредоносные версии Axios 1.14.1 и 0.30.4, зависимость «plain-crypto-js», файл
Рекомендации для команд разработки достаточно конкретны. Первое — проверить дерево зависимостей на присутствие скомпрометированных версий Axios и наличие пакета «plain-crypto-js» в
Случай с Axios показателен тем, что атакующие бьют не по конечным пользователям напрямую, а по разработчикам — через их инструменты. Один заражённый пакет в зависимостях может попасть в десятки тысяч проектов, и пока мейнтейнерские аккаунты защищаются обычными паролями без аппаратных ключей, подобные истории будут повторятся.
Изображение носит иллюстративный характер
Злоумышленники получили контроль над аккаунтом мейнтейнера Axios в реестре npm. За неполные 40 минут они выпустили две троянизированные версии пакета: 1.14.1 и 0.30.4. Обе ветки релизов были скомпрометированы практически одновременно, что говорит о тщательной подготовке и заранее развёрнутой инфраструктуре. Джон Хальтквист, главный аналитик GTIG, отметил, что операция показывает высокий уровень оперативной зрелости: скомпрометированные учётные данные мейнтейнера, заранее подготовленные полезные нагрузки под несколько ОС и встроенный механизм самоуничтожения следов.
Механика атаки устроена многослойно. В заражённые версии Axios была добавлена вредоносная зависимость под названием «plain-crypto-js». Этот пакет работал как транспортное средство для доставки полезной нагрузки. В его файле
package.json был прописан хук postinstall, который незаметно запускался в фоне при установке Axios. Разработчик, подключивший обновлённый Axios в свой проект, автоматически активировал цепочку заражения, даже не зная об этом. Первой стадией заражения выступал SILKBELL — обфусцированный JavaScript-дроппер, замаскированный под файл
setup.js. Он определял операционную систему жертвы и загружал соответствующую полезную нагрузку с удалённого сервера. Для Windows это был вредонос на PowerShell, для macOS — бинарный файл C++ Mach-O, для Linux — бэкдор на Python. После выполнения своей задачи SILKBELL самоуничтожался: удалял себя и подменял package.json пакета «plain-crypto-js» на чистую версию, из которой был убран хук postinstall. Это затрудняло посмертный анализ — на первый взгляд в системе не оставалось следов компрометации. Основной бэкдор, который доставлялся на заражённые машины, получил обозначение WAVESHAPER.V2. Его предшественник, оригинальный WAVESHAPER, уже применялся UNC1069 против криптовалютных компаний — это был C++ бэкдор под macOS и Linux с сырым бинарным протоколом связи с командным сервером. Обновлённая версия перешла на JSON для коммуникации с C2 и обращается к серверу управления каждые 60 секунд. Связь между двумя версиями установили в Elastic Security Labs, которые первыми заметили пересечения в функциональности.
WAVESHAPER.V2 поддерживает четыре команды. Команда
kill завершает процесс вредоноса. Команда rundir позволяет атакующим перечислять содержимое директорий: пути к файлам, их размеры, метки времени создания и модификации. Команда runscript запускает AppleScript, PowerShell или shell-команды в зависимости от целевой ОС. И наконец, peinject декодирует и исполняет произвольные бинарные файлы. Набор возможностей достаточный, чтобы провести полноценную разведку на машине разработчика и далее — развернуть кражу ключей или сид-фраз от криптокошельков. Томислав Перичин, главный архитектор ПО в компании ReversingLabs, обратил внимание на масштабируемость операции. Техническая реализация атаки намекает на то, что аналогичные кампании могут быть развёрнуты или уже развёрнуты через другие пакетные менеджеры — PyPI и NuGet. Фактически, если одна и та же группировка применяет кросс-платформенные полезные нагрузки и понимает, как устроены процессы сборки в разных экосистемах, один npm-пакет может быть лишь верхушкой.
Среди опубликованных индикаторов компрометации (IoC): вредоносные версии Axios 1.14.1 и 0.30.4, зависимость «plain-crypto-js», файл
setup.js (SILKBELL), командный домен sfrclak[.]com, IP-адрес C2-сервера 142.11.206[.]73 и путь в файловой системе macOS /Library/Caches/com.apple.act.mond, куда бэкдор сбрасывает вторичные полезные нагрузки. Рекомендации для команд разработки достаточно конкретны. Первое — проверить дерево зависимостей на присутствие скомпрометированных версий Axios и наличие пакета «plain-crypto-js» в
node_modules. Аудит стоит провести не только для npm, но и для PyPI и NuGet, если они задействованы в сборочных конвейерах. Второе — откатиться на заведомо безопасную версию Axios и зафиксировать её в package-lock.json, чтобы исключить случайное обновление. Третье — завершить обнаруженные вредоносные процессы, заблокировать домен и IP командного сервера на уровне DNS и сетевого фильтра. Четвёртое — изолировать затронутые системы и ротировать все учётные данные и секреты, которые могли быть доступны в скомпрометированной среде. Все, без исключений и без оговорки «нас это вряд ли коснулось». Случай с Axios показателен тем, что атакующие бьют не по конечным пользователям напрямую, а по разработчикам — через их инструменты. Один заражённый пакет в зависимостях может попасть в десятки тысяч проектов, и пока мейнтейнерские аккаунты защищаются обычными паролями без аппаратных ключей, подобные истории будут повторятся.
