Microsoft yanaunganisha shambulio la mnyororo wa usambazaji wa npm la Mastra AI na Sapphire Sleet wa Korea Kaskazini
Microsoft inahusisha uvunjaji wa npm na kundi la Korea Kaskazini
Microsoft imeweka lebo ya shambulio la mnyororo wa usambazaji lililolenga mfumo wa vifurushi vya Mastra AI kama kazi ya Sapphire Sleet, kundi la wahackers la Korea Kaskazini linalofuatiliwa pia kama BlueNoroff. Kampuni ilisema kampeni hiyo iliharibu zaidi ya vifurushi 140 vya npm baada ya mashambulizi kunyakua akaunti ya mratibu na kusukuma masasisho hatarishi katika rejesta maarufu ya JavaScript.
Katika sasisho la tarehe 19 Juni, Microsoft ilisema ilikuwa na “imani ya juu” shughuli hiyo ilikuwa kuhusishwa na Sapphire Sleet, ikielezea kundi hilo kama mwakilishi wa jimbo la Korea Kaskazini ambaye huvutia hasa sekta ya fedha.
Shambulio lilianza kwa kuibiwa kwa akaunti ya mratibu wa npm yenye jina “ehindero,” ambayo ilikuwa na ufikiaji wa kuchapisha katika mazingira ya kifurushi cha Mastra. Kutoka hapo, washambuliaji waliingiza utegemezi hatarishi uliotajwa kama “easy-day-js” katika zaidi ya vifurushi 140 ndani ya wigo wa @mastra. Jina lilikuwa typosquat la maktaba halali ya dayjs, mbinu ya kawaida iliyoandaliwa ili kuonekana kama programu inayotegemewa.
Mnyororo wa usakinishaji hatarishi uliathiri vifaa vya watengenezaji
Mara utegemezi wa uongo ulipowekwa, ulisababisha hook ya post-install iliyobomoa programu hasidi kwenye mifumo ya watengenezaji. Microsoft ilisema mzigo huo ulilenga kuiba nywila nyeti, funguo za API, tokeni za uthibitisho na pochi za sarafu za kidijitali.
Kampuni ilisema msimbo ulizima uhakiki wa vyeti vya TLS, ulifikia miundombinu ya command-and-control inayodhibitiwa na washambuliaji, ulipakua mzigo wa awamu ya pili na kuuiendesha kama mchakato uliotengwa uliyojificha. Mzigo wa awamu ya pili ulikuwa thief wa taarifa wa mtandao wa tofauti uliojengwa kuendeshwa kwenye Windows, Linux na macOS.
Microsoft ilisema kiambatisho kilikusanya maelezo ya mwenyeji, historia ya kivinjari, programu zilizosakinishwa na michakato inayokimbia. Pia kilichunguza kuwepo kwa extensions 166 za pochi za sarafu za kidijitali kwenye kivinjari, ikiwa ni pamoja na MetaMask, Phantom, Coinbase Wallet, Binance Wallet na TronLink.
Njia za kudumu zilibadilika kulingana na mfumo wa uendeshaji, ambapo programu hasidi ilitumia Windows Registry Run keys, macOS LaunchAgents na Linux systemd services.
Microsoft pia ilisema mifumo iliyowasiliana na seva za washambuliaji baadaye ilionyesha shughuli zilizofanana na za Sapphire Sleet katika kampeni zao za awali, ikiwa ni pamoja na backdoor ya PowerShell, mbinu za ziada za udumu, exclusion za Microsoft Defender na huduma ya Windows yenye madharau iliyoipa ruhusa za SYSTEM.
"Backdoor ya PowerShell, mbinu za kazi, na miundombinu ya C2 imetumika na Sapphire Sleet katika kampeni nyingine za zamani," Microsoft ilisema.
Sapphire Sleet awali imehusishwa na wizi wa sarafu za kidijitali, extensions hatarishi za kivinjari, ofa za ajira za uongo na mashambulio ya mnyororo wa usambazaji wa programu yaliyoandaliwa kuiba nywila na mali za crypto.
Vyanzo:
Soma habari zaidi za teknolojia kwenye Doppler VPN Blog.