Microsoft vincula ataque à cadeia de suprimentos npm do Mastra AI ao grupo norte-coreano Sapphire Sleet
Microsoft relaciona comprometimento de npm a grupo norte-coreano
A Microsoft atribuiu um recente ataque à cadeia de suprimentos que atingiu o ecossistema de pacotes Mastra AI ao grupo Sapphire Sleet, um grupo hacker norte-coreano também monitorado como BlueNoroff. A empresa informou que a campanha comprometeu mais de 140 pacotes npm depois que invasores sequestraram uma conta de mantenedor e empurraram atualizações maliciosas para o registro JavaScript amplamente usado.
Em uma atualização de 19 de junho, a Microsoft disse ter “alta confiança” de que a atividade estava ligada ao Sapphire Sleet, descrevendo o grupo como um ator do Estado norte-coreano que tem como alvo principal o setor financeiro.
O ataque começou com o comprometimento da conta de mantenedor do npm “ehindero”, que tinha acesso de publicação em todo o ambiente de pacotes Mastra. A partir daí, os invasores inseriram uma dependência maliciosa chamada “easy-day-js” em mais de 140 pacotes no escopo @mastra. O nome era um typosquat da biblioteca legítima dayjs, um truque comum para se misturar a software confiável.
Cadeia de instalação maliciosa atingiu dispositivos de desenvolvedores
Uma vez instalada, a dependência falsa acionou um gancho pós-instalação que depositou malware nos sistemas dos desenvolvedores. A Microsoft afirmou que o payload tinha como objetivo roubar credenciais sensíveis, chaves de API, tokens de autenticação e carteiras de criptomoedas.
A empresa disse que o código desativava a verificação de certificados TLS, contatava infraestrutura de comando e controle controlada pelos atacantes, baixava um payload de segunda etapa e o executava como um processo oculto em segundo plano. Esse payload de segunda etapa era um coletor de informações multiplataforma projetado para rodar em Windows, Linux e macOS.
A Microsoft informou que o implantado coletava detalhes do host, histórico do navegador, aplicativos instalados e processos em execução. Também verificou a presença de 166 extensões de carteira de criptomoedas para navegadores, incluindo MetaMask, Phantom, Coinbase Wallet, Binance Wallet e TronLink.
Os métodos de persistência variaram conforme o sistema operacional, com o malware usando chaves Run do Registro do Windows, LaunchAgents no macOS e serviços systemd no Linux.
A Microsoft também disse que sistemas que contataram os servidores dos invasores posteriormente mostraram atividade consistente com operações anteriores do Sapphire Sleet, incluindo um backdoor em PowerShell, mecanismos adicionais de persistência, exclusões do Microsoft Defender e um serviço malicioso do Windows que concedia privilégios SYSTEM.
“O backdoor em PowerShell, a técnica operacional (tradecraft) e a infraestrutura de C2 têm sido usados pelo Sapphire Sleet em outras campanhas anteriores,” disse a Microsoft.
O Sapphire Sleet já havia sido associado a roubos de criptomoedas, extensões de navegador maliciosas, ofertas de emprego falsas e ataques à cadeia de suprimentos de software projetados para roubar credenciais e ativos de criptomoeda.
Fontes:
Leia mais notícias de tecnologia no Doppler VPN Blog.