بسته‌های مخرب npm که به عنوان ابزارهای PostCSS ظاهر می‌شوند تا تروجان دسترسی از راه دور ویندوز را منتشر کنند

محققان امنیت سایبری مجموعه‌ای از بسته‌های مخرب در مخزن npm کشف کرده‌اند که برای استقرار یک تروجان دسترسی از راه دور (RAT) مبتنی بر ویندوز طراحی شده‌اند. این بسته‌ها شامل «aes-decode-runner-pro»، «postcss-minify-selector» و «postcss-minify-selector-parser» می‌شوند که در مجموع بیش از هزار بار دانلود شده و توسط کاربری با نام «abdrizak» در طول یک ماه گذشته منتشر شده‌اند. زنجیره حمله با اجرای یک اسکریپت PowerShell آغاز می‌شود که باری از یک سرور خارجی دریافت می‌کند و در نهایت یک RAT پایتونی را مستقر می‌سازد که قادر به سرقت اطلاعات اعتباری از مرورگر Chrome، اجرای دستورات پوسته (shell commands) و ارتباط با سرور فرمان و کنترل (C2) است. شرکت JFrog هشدار داد که این مورد نشان می‌دهد چگونه یک بسته کوچک می‌تواند یک بدافزار چندمرحله‌ای ویندوزی را پنهان کند.

همزمان با این کشف، سه کمپین مخرب دیگر نیز در اکوسیستم npm و TypeScript شناسایی شده‌اند؛ از جمله بسته‌ای به نام «apintergrationpost» که یک RAT لینوکسی با قابلیت روت‌کیت (rootkit) مستقر می‌کند، بسته «@withgoogle/stitch-sdk» که با جعل هویت ابزار هوش مصنوعی گوگل، اطلاعات اعتباری توسعه‌دهندگان را از هشت منبع مختلف سرقت می‌کند، و خوشه‌ای از پنج بسته مخرب که یک باینری dropper را روی سیستم‌های ویندوزی اجرا می‌کنند. این یافته‌ها همچنین با یک حمله زنجیره تأمین (supply chain attack) منتسب به کره شمالی با نام «PolinRider» همپوشانی دارد که با تزریق کد جاوااسکریپت مبهم‌سازی‌شده به فایل‌های پیکربندی توسعه‌دهندگان در نزدیک به دو هزار مخزن GitHub، بدافزارهای BeaverTail و InvisibleFerret را توزیع می‌کند.