Microsoft mengaitkan serangan rantai pasokan npm pada Mastra AI dengan Sapphire Sleet dari Korea Utara
Microsoft mengaitkan kompromi npm dengan kelompok Korea Utara
Microsoft menyatakan bahwa serangan rantai pasokan baru-baru ini yang menargetkan ekosistem paket Mastra AI dilakukan oleh Sapphire Sleet, sebuah kelompok peretas Korea Utara yang juga dipantau dengan nama BlueNoroff. Perusahaan mengatakan kampanye itu mengompromikan lebih dari 140 paket npm setelah penyerang membajak akun maintainer dan mendorong pembaruan berbahaya ke registry JavaScript yang banyak digunakan.
Dalam pembaruan 19 Juni, Microsoft mengatakan mereka memiliki “keyakinan tinggi” bahwa aktivitas tersebut terkait dengan Sapphire Sleet, menggambarkan kelompok itu sebagai aktor negara Korea Utara yang terutama menargetkan sektor keuangan.
Serangan dimulai dengan kompromi akun maintainer npm bernama “ehindero,” yang memiliki akses publish di seluruh lingkungan paket Mastra. Dari situ, penyerang menyisipkan dependency berbahaya bernama “easy-day-js” ke lebih dari 140 paket dalam scope @mastra. Nama itu adalah typosquat dari library sah dayjs, trik umum yang dimaksudkan untuk menyamar sebagai perangkat lunak tepercaya.
Rantai instal berbahaya menyerang perangkat pengembang
Setelah terinstal, dependency palsu memicu hook pasca-instal yang menanamkan malware ke sistem pengembang. Microsoft mengatakan payload itu bertujuan mencuri kredensial sensitif, API key, token otentikasi, dan dompet cryptocurrency.
Perusahaan mengatakan kode tersebut menonaktifkan verifikasi sertifikat TLS, menghubungi infrastruktur command-and-control yang dikendalikan penyerang, mengunduh payload tahap kedua dan menjalankannya sebagai proses tersembunyi yang terpisah. Payload tahap kedua itu adalah pencuri informasi lintas platform yang dibangun untuk berjalan di Windows, Linux dan macOS.
Microsoft mengatakan implant mengumpulkan detail host, riwayat browser, aplikasi yang terpasang dan proses yang berjalan. Ia juga memeriksa 166 ekstensi dompet cryptocurrency untuk browser, termasuk MetaMask, Phantom, Coinbase Wallet, Binance Wallet dan TronLink.
Metode persistensi bervariasi menurut sistem operasi, dengan malware menggunakan Windows Registry Run keys, macOS LaunchAgents dan layanan systemd pada Linux.
Microsoft juga mengatakan sistem yang menghubungi server penyerang kemudian menunjukkan aktivitas yang konsisten dengan operasi Sapphire Sleet sebelumnya, termasuk backdoor PowerShell, mekanisme persistensi tambahan, pengecualian Microsoft Defender dan layanan Windows berbahaya yang memberikan hak SYSTEM.
“Backdoor PowerShell, tradecraft, dan infrastruktur C2 telah digunakan oleh Sapphire Sleet dalam kampanye sebelumnya,” kata Microsoft.
Sapphire Sleet sebelumnya dikaitkan dengan pencurian cryptocurrency, ekstensi browser berbahaya, tawaran pekerjaan palsu, dan serangan rantai pasokan perangkat lunak yang dirancang untuk mencuri kredensial dan aset kripto.
Sumber:
Baca lebih banyak berita teknologi di Doppler VPN Blog.