Investigadores de ciberseguridad han descubierto un conjunto de paquetes npm maliciosos que están diseñados para entregar un troyano de acceso remoto (RAT) basado en Windows.
La lista de paquetes identificados se encuentra a continuación:
- aes-decode-runner-pro (145 descargas)
- postcss-minify-selector (256 descargas)
- postcss-minify-selector-parser (615 descargas)
Todos los paquetes fueron publicados durante el mes pasado por un usuario de npm llamado “abdrizak” y continúan estando disponibles para descargar desde npm al momento de escribir este artículo.
“Aes-decode-runner-pro y postcss-minify-selector-parser se presentan como paquetes AES/códec personalizado en capas y dependen del postcss-selector-parser legítimo”, dijo JFrog en un análisis. “Postcss-minify-selector se presenta como un minificador de selector PostCSS y depende de postcss-minify-selector-parser”.
En cuanto a “postcss-minify-selector-parser”, el nombre es una referencia a “postcss-selector-parser”, una biblioteca npm ampliamente utilizada con más de 127 millones de descargas semanales. Independientemente del paquete descargado, la cadena de ataque conduce a la implementación del mismo malware de Windows.
Los paquetes vienen integrados con un cuentagotas de JavaScript que escribe un script de PowerShell (“settings.ps1”) en el disco y lo ejecuta. Luego, el script de PowerShell actúa como un descargador para una carga útil de la siguiente etapa recuperada de un servidor externo (“nvidiadriver(.)net”) usando “curl.exe”.
La carga útil recuperada es un archivo ZIP, del cual se extrae un archivo Visual Basic Script (“update.vbs”) y se ejecuta usando “wscript.exe”. También se incluye en el archivo ZIP descargado un tiempo de ejecución de Python, un cargador de Python (“loader.py”) y varios módulos de extensión de Python (*.pyd) compilados con Nuitka.
Visual Basic es responsable de configurar el entorno Python en el host comprometido y de iniciar el script “loader.py”, que luego activa la lógica central del malware. El RAT está equipado para recopilar información del host, extraer credenciales de Google Chrome, recopilar datos de extensiones de Chrome, ejecutar comandos de shell y descargar/cargar archivos hacia y desde un servidor de comando y control (C2) (“95.216.92(.)207:8080”).
Estas características se implementan a través de un conjunto de módulos de extensión nativos de Python:
- config.pyd, que contiene constantes, ID de comando, URL C2 y nombres de claves de registro
- api.pyd, que maneja el intercambio de paquetes HTTP C2
- audiodriver.pyd, que maneja el bucle de orquestación principal de RAT
- command.pyd, que perfila el host, ejecuta comprobaciones de máquinas virtuales (VM), transferencia de archivos y ejecución de shell
- auto.pyd, que realiza el robo de extensiones y credenciales de Chrome, evitando las protecciones de cifrado vinculado a aplicaciones (ABE)
- util.pyd, que actúa como ayudante de archivo tar/gzip
“Este caso muestra cómo un pequeño paquete similar a un analizador puede ocultar una carga útil de Windows de varias etapas mientras parece estar relacionado con herramientas de compilación legítimas con un uso semanal masivo”, dijo JFrog. “Para los defensores, la lección importante es tratar las dependencias de construcción similares como posibles mecanismos de entrega, no simplemente como un ruido de nombres inofensivo”.
El descubrimiento coincide con otras tres campañas dirigidas al ecosistema npm y TypeScript:
- Un paquete malicioso llamado “apintergrationpost” que ofrece un RAT de Linux con todas las funciones denominado MYRA, mientras afirma ser un cliente de integración de Node.js para ejercicios autorizados del equipo rojo. “Compila un rootkit C nativo durante la instalación, establece tres mecanismos de persistencia independientes, se hace pasar por un servicio systemd, admite la ejecución sin archivos y proporciona acceso interactivo al shell con transmisión de pantalla en vivo”, dijo SafeDep.
- Un paquete malicioso llamado “@withgoogle/stitch-sdk” que se hace pasar por la herramienta de diseño Stitch AI de Google, pero viene con capacidades para robar credenciales de desarrollador de ocho fuentes (Claude Code, git config, ~/.git-credentials, claves públicas SSH, GitHub CLI, npm config, ~/.npmrc y ~/.docker/config.json) y las exfiltra a un dominio controlado por un atacante. (“Stitch-producción(.)org/api/v1”).
- Un grupo de cinco paquetes (“procwire”, “routecraft”, “endpointmap”, “bytecraft” y “staticlayer”) que entrega un binario dropper en hosts Windows desde un servidor externo y lo ejecuta durante la instalación de npm. El paquete “routecraft” enumera “procwire” como dependencia, mientras que este último enumera “endpointmap” y “bytecraft” como dependencias. El último paquete, “staticlayer”, está diseñado para ejecutarse en el lado del servidor y entregar archivos a un cliente que presenta el User-Agent exacto del dropper.
Se recomienda a los usuarios que hayan instalado cualquiera de los paquetes anteriores que los eliminen con efecto inmediato, eliminen cualquier artefacto creado por ellos y roten las credenciales de las máquinas de desarrollo afectadas.
Los hallazgos también coinciden con un ataque a la cadena de suministro dirigido a la herramienta de gráficos de conocimiento “gonex-AI/Understand-Anything” para impulsar una carga útil maliciosa que “señala uno de los tres servidores C2 codificados, extrae un marcador de campaña, descifra XOR y evalúa un cliente bot descargado, luego resuelve de forma independiente un comando de segunda etapa desde una dirección de blockchain de Tron cuya última transacción codifica un hash de transacción BSC que lleva la carga útil activa”.
La actividad se superpone con una operación de la cadena de suministro de Corea del Norte denominada PolinRider, que ha sido observada inyectando JavaScript ofuscado en archivos de configuración de desarrolladores legítimos en casi 2.000 repositorios de GitHub comprometidos para entregar un conocido descargador y ladrón de malware denominado BeaverTail, que luego allana el camino para la puerta trasera InvisibleFerret.
“Este ataque combina tres cosas que individualmente son familiares pero que juntas abren una brecha de detección: una descripción de relaciones públicas falsa elaborada con evidencia de prueba fabricada, una diferencia que oculta su carga útil en un espacio en blanco horizontal y un C2 de dos etapas donde la segunda etapa utiliza la infraestructura pública de blockchain como un relé de escritura única y lectura en cualquier lugar”, dijo SafeDep.