Microsoft verknüpft Mastra AI npm-Lieferkettenangriff mit Nordkoreas Sapphire Sleet
Microsoft setzt npm-Kompromittierung mit nordkoreanischer Gruppe in Verbindung
Microsoft hat einen jüngsten Lieferkettenangriff auf das Mastra AI-Paket-Ökosystem Sapphire Sleet zugeschrieben, einer nordkoreanischen Hackergruppe, die auch als BlueNoroff verfolgt wird. Das Unternehmen erklärte, die Kampagne habe mehr als 140 npm-Pakete kompromittiert, nachdem Angreifer ein Maintainer-Konto übernommen und bösartige Updates in das weit verbreitete JavaScript-Registry eingeschleust hatten.
In einem Update vom 19. Juni sagte Microsoft, man habe „hohe Zuversicht“, dass die Aktivität mit Sapphire Sleet in Verbindung stehe, und beschrieb die Gruppe als einen nordkoreanischen staatlichen Akteur, der vorwiegend den Finanzsektor ins Visier nimmt.
Der Angriff begann mit der Kompromittierung des npm-Maintainer-Kontos „ehindero“, das Veröffentlichungszugriff über die Mastra-Paketumgebung hatte. Von dort fügten die Angreifer eine bösartige Abhängigkeit namens „easy-day-js“ in mehr als 140 Pakete im @mastra-Scope ein. Der Name war ein Typosquatting auf die legitime dayjs-Bibliothek, ein gängiger Trick, um sich zwischen vertrauenswürdiger Software zu tarnen.
Bösartige Installationskette traf Entwicklergeräte
Sobald die falsche Abhängigkeit installiert wurde, löste sie einen Post-Install-Hook aus, der Malware auf den Systemen der Entwickler ablegte. Microsoft erklärte, die Nutzlast habe darauf abgezielt, sensible Zugangsdaten, API-Schlüssel, Authentifizierungstoken und Kryptowährungs-Wallets zu stehlen.
Das Unternehmen berichtete, der Code habe die TLS-Zertifikatsprüfung deaktiviert, Verbindungen zu von Angreifern kontrollierter Command-and-Control-Infrastruktur hergestellt, eine zweite Nutzlast heruntergeladen und diese als abgekoppelten, versteckten Prozess ausgeführt. Diese zweite Nutzlast war ein plattformübergreifender Information-Stealer, der für Windows, Linux und macOS entwickelt wurde.
Microsoft erklärte, der Implantat habe Host-Details, Browserverlauf, installierte Anwendungen und laufende Prozesse gesammelt. Es wurde auch nach 166 Browserextensions für Kryptowährungs-Wallets gesucht, darunter MetaMask, Phantom, Coinbase Wallet, Binance Wallet und TronLink.
Die Persistenzmethoden variierten je nach Betriebssystem; die Malware nutzte Windows-Registry-Run-Keys, macOS LaunchAgents und Linux systemd-Services.
Microsoft sagte außerdem, dass Systeme, die die Server der Angreifer kontaktierten, später Aktivitäten zeigten, die mit früheren Operationen von Sapphire Sleet übereinstimmen, darunter ein PowerShell-Backdoor, zusätzliche Persistenzmechanismen, Microsoft Defender-Ausnahmen und ein bösartiger Windows-Dienst, der SYSTEM-Privilegien gewährte.
„Das PowerShell-Backdoor, die verwendete Taktik und die C2-Infrastruktur wurden von Sapphire Sleet in anderen, früheren Kampagnen eingesetzt“, so Microsoft.
Sapphire Sleet wurde zuvor mit Kryptowährungsdiebstahl, bösartigen Browsererweiterungen, gefälschten Stellenangeboten und Softwarelieferkettenangriffen in Verbindung gebracht, die darauf abzielten, Zugangsdaten und Krypto-Assets zu stehlen.
Quellen:
Mehr Techniknews im Doppler VPN Blog.