بکدور سارق اطلاعات در ۳ نسخه از Node-IPC با هدف سرقت اسرار توسعه‌دهندگان

محققان امنیت سایبری نسبت به آلوده شدن بسته‌ی پرکاربرد npm با نام «node-ipc» هشدار دادند. سه نسخه از این بسته (9.1.6، 9.2.3 و 12.0.1) که توسط حساب کاربری مشکوک «atiertant» منتشر شده‌اند، حاوی بدافزار سرقت اطلاعات (stealer/backdoor) هستند. این بدافزار پس از فراخوانی بسته در زمان اجرا فعال می‌شود و قادر است ۹۰ دسته از اطلاعات حساس از جمله کلیدهای SSH، توکن‌های Kubernetes، اعتبارنامه‌های سرویس‌های ابری نظیر AWS، Google Cloud و Azure، تاریخچه‌ی پوسته (shell history) و رمزهای پایگاه داده را جمع‌آوری کرده و پس از فشرده‌سازی در قالب آرشیو GZIP، به دامنه‌ی «sh.azurestaticprovider[.]net» ارسال کند. قابل توجه است که این بدافزار برخلاف روش‌های رایج، از هیچ‌یک از قلاب‌های چرخه‌ی حیات npm استفاده نمی‌کند و به‌جای آن، کد مخرب را به‌صورت یک تابع فوری فراخوانی‌شونده (IIFE) به انتهای فایل اصلی بسته افزوده است.

این حمله از تکنیک‌های پیشرفته‌ای برای فرار از شناسایی بهره می‌برد؛ از جمله استفاده از کانال DNS به‌عنوان مسیر دوم برای استخراج داده، دور زدن تنظیمات DNS محلی با استفاده از سرورهای عمومی گوگل، و ادامه‌ی اجرا در پس‌زمینه پس از خاتمه‌ی فرآیند اصلی. نسخه‌ی 12.0.1 همچنین دارای یک بررسی اثرانگشت SHA-256 است که نشان می‌دهد مهاجم هدف مشخصی را نشانه گرفته است. این اولین بار نیست که node-ipc درگیر رفتار مخرب می‌شود؛ در مارس ۲۰۲۲ نیز نگهدارنده‌ی اصلی بسته، کدی مخرب را به‌عنوان اعتراض به تهاجم نظامی روسیه به اوکراین در آن گنجانده بود. به کاربران توصیه می‌شود نسخه‌های آلوده را حذف و به نسخه‌های پاک (9.2.1 یا 12.0.0) بازگردند، اعتبارنامه‌های خود را تغییر دهند و ترافیک خروجی به دامنه‌ی مذکور را مسدود کنند.