Investigadores han advertido un ataque multifacético dirigido a profesionales de seguridad, que combina el despliegue de versiones maliciosas de código y minería de criptomonedas, una campaña que ha resultado en el robo de 390.000 credenciales de acceso a WordPress.
El actor de amenazas identificado como MUT-1244, utiliza diferentes vectores de ataque y aprovecha en ellos la misma carga útil, distribuida a través de una campaña 'phishing' dirigida a miles de profesionales de este sector y otros campos técnicos, así como mediante repositorios de código abierto GitHub troyanizados.
El primero de los vectores de ataque implica la instalación directa del paquete '@Oxengune/xmlrp' desde NPM, mientras que el segundo enfoque, más sofisticado, involucra un repositorio denominado 'yawpp', que se promociona como un verificador de credenciales de WordPress.
A principios de octubre de 2023, la firma de ciberseguridad Checkmarx advirtió una campaña dirigida a investigadores y profesionaldes de ciberseguridad consistente en la disposición de un paquete Node Package Manager (NPM) -herramienta en el desarrollo con JavaScript- malicioso que se hacía pasar por una implementación de cliente y servidor XML-RPC para el entorno de ejecución Node.js.
Lo interesante de este paquete era su evolución estratégica de código legítimo a código malicioso. Así, su versión inicial (1.3.2) y su inmediata continuación parecían ser implementaciones legítimas de la funcionalidad XML-RPC. Sin embargo, a partir de la versión 1.3.4, el paquete sufrió una transformación significativa con la introducción de código malicioso ofuscado dentro del archivo 'validator.js'.
Desde entonces y a lo largo de un año, este paquete ha recibido 16 actualizaciones, tal y como ha apuntado Checkmarx. La última versión (1.3.18) se implementó el 4 de octubre de este año. Gracias a este patrón de actualizaciones constante y a que recibe nuevos comandos y configuraciones con frecuencia, el NPM ha podido mantenerse activo, con una apariencia legítima, al tiempo que ocultaba su finalidad maliciosa.
Asimismo, una investigación complementaria a la de Checkmarx publicada por Datadog Security Labs señala que otro de los motivos por los que los repositorios maliciosos de GitHub parecían ser legítimos fue su nombre, como 'cve-2019-1148' o 'ejecutable-pdf'.
Estos se incluyeron automáticamente en fuentes legítimas, como Feedly threat Intelligence o Vulnmon como respositorios de prueba de concepto dirigidos a vulnerabilidades conocidas. Esto aumentó su confiabilidad y la probabilidad de que algún desarrollador los ejecutase.
Una vez instalado en el equipo, el 'malware' comienza a recopilar información del sistema -claves y configuraciones SSH, historiales de comandos, información de red e IP, etc.- y, tras una fase inicial de recogida de datos, despliega su componente de minería de criptomonedas con atención a los sistemas Linux.
Este proceso de despliegue implica la descarga de cargas útiles adicionales desde un repositorio de Codeberg que se hacen pasar por servicios de autentificación del sistema, como 'Xsession.auth', configurado para iniciarse de forma automática. Con ello, se inicia una operación de minería que utiliza el 'malware' minero XMRig para extraer la criptomoneda Monero, que después dirige a una billetera propiedad del atacante.
Junto con este 'software' de minería, se instala 'xprintidle', que se utiliza para monitorizar la actividad del usuario, y 'Xsession.sh', un script que controla y administra la operación de criptominería maliciosa.
EVALUACIÓN CONTINUA
Desde Checkmarx han señalado que esa campaña, con la que MIT-12144 pudo acceder a más de 390.000 credenciales que se cree que pertenecen a WordPress, sirve como "un duro recordatorio" de la importancia de examinar detalladamente los proyectos de código abierto antes de incorporarlos a cualquier proceso de desarrollo de 'software'.
Como se ha comprobado, los paquetes de código pueden ser maliciosos desde el principio, manteniendo una presencia a largo plazo mientras ocultan su verdadera naturaleza, o también se pueden ver comprometidos tiempo después de su implementación e introducir código malicioso a través de actualizaciones.
Se trata de una doble amenaza que obliga a desarrolladores y organizaciones a permanecer atentos más allá de una evaluación inicial del producto y a implementar medidas de seguridad sólidas, así como realizar auditorías periódicas para mitigar los riesgos.
Últimas Noticias
Inflación en México y datos macroeconómicos por países, gráficos
Expertos advierten sobre el repunte de los precios en México, que registró una subida interanual en febrero, mientras que el índice chino mostró un salto destacado, según datos recientes publicados por fuentes oficiales y plataformas analíticas especializadas
El Asisa Joventut, a certificar el billete a cuartos de la BCL ante el Wurzburgo
ABB Robotics se asocia con Nvidia para impulsar con IA la robótica industrial
Desarrolladores podrán crear entornos virtuales hiperrealistas usando gemelos digitales, acelerando la integración de inteligencia artificial en procesos productivos, según ABB Robotics, lo que representa un avance clave hacia la adopción de tecnologías autónomas en la industria
Lula recibe a Ramaphosa en una visita oficial para discutir la ampliación del comercio
Cerca de 450 efectivos integrarán el dispositivo de seguridad para el Atlético-Tottenham
La Delegación del Gobierno ha anunciado que el operativo especial para el encuentro de la Liga de Campeones incluirá refuerzos policiales, servicios de emergencia, seguridad privada y control en el transporte ante la llegada masiva de hinchas ingleses
