بسته مخرب NuGet با جعل هویت Sicoob اطلاعات بانکی را سرقت می‌کند و بسته‌های npm اسرار ابری را هدف قرار می‌دهند

محققان امنیت سایبری یک بسته مخرب در مخزن NuGet کشف کرده‌اند که با جعل هویت کیت توسعه نرم‌افزار (SDK) رسمی سیستم مالی تعاونی برزیلی «Sicoob»، اطلاعات حساس توسعه‌دهندگان را به سرقت می‌برد. بسته «Sicoob.Sdk» در نسخه‌های ۲.۰.۰ تا ۲.۰.۴ با حدود ۵۰۰ بار دانلود، گواهی‌نامه‌های PFX و شناسه‌های کلاینت را رمزگذاری کرده و به یک سرور خارجی ارسال می‌کند. به گفته محقق امنیتی کیریل بویچنکو، این بسته همچنین پاسخ‌های خام API پرداخت «Boleto» را ضبط می‌کند که می‌تواند جزئیات تراکنش‌های مالی حساس را افشا سازد. نگران‌کننده‌تر آنکه موتور جستجوی هوش مصنوعی گوگل این بسته مخرب را به عنوان کتابخانه معتبر C# معرفی کرده بود. پس از افشای مسئولانه، NuGet این بسته را مسدود کرد و به سازمان‌های آسیب‌دیده توصیه شده فوراً بسته را حذف، گواهی‌نامه‌های PFX را ابطال و شناسه‌های کلاینت را غیرفعال کنند.

این کشف همزمان با موجی گسترده از حملات زنجیره تأمین نرم‌افزار (software supply chain attacks) رخ داده است. ۱۴ بسته مخرب در مخزن npm توسط یک عامل تهدید با نام «vpmdhaj» منتشر شده که با جعل هویت کتابخانه‌های شناخته‌شده‌ای مانند OpenSearch و ElasticSearch، اعتبارنامه‌های AWS، توکن‌های HashiCorp Vault و اسرار خطوط CI/CD را به سرقت می‌برند. شرکت امنیتی Sonatype در گزارش جدیدی هشدار داد که مهاجمان از روش‌های سنتی «تایپوسکوات» (typosquatting) فراتر رفته و به سمت «مشروعیت‌سازی ساختگی» روی آورده‌اند؛ یعنی طراحی نام بسته‌هایی که در جریان‌های کاری معمول توسعه‌دهندگان کاملاً قانونی به نظر می‌رسند. گروه هکری TeamPCP نیز با آلوده‌سازی ابزارهای محبوب در npm، PyPI، Docker Hub و Packagist به شیوه‌ای کرم‌مانند، به یکی از تهدیدات جدی زنجیره تأمین نرم‌افزار تبدیل شده است.