هکرهای کره شمالی 197 بسته npm را برای انتشار بدافزار به‌روزرسانی شده OtterCookie مستقر کردند

بازیگران تهدید کره شمالی پشت کمپین Contagious Interview از ماه گذشته ۱۹۷ بسته مخرب دیگر را به رجیستری npm اضافه کرده‌اند. بر اساس گزارش Socket، این بسته‌ها بیش از ۳۱ هزار بار دانلود شده‌اند و برای تحویل نوعی از بدافزار OtterCookie طراحی شده‌اند که ویژگی‌های BeaverTail و نسخه‌های قبلی OtterCookie را ترکیب می‌کند. این بدافزار پس از راه‌اندازی، سعی در فرار از sandbox ها و ماشین‌های مجازی می‌کند، سیستم را پروفایل می‌کند و سپس کانال فرمان و کنترل (C2) برقرار می‌کند تا به مهاجمان shell از راه دور، قابلیت سرقت محتویات کلیپ‌بورد، ثبت ضربات کلید، گرفتن اسکرین‌شات و جمع‌آوری اطلاعات مرورگر، اسناد، داده‌های کیف پول رمزارز و seed phrase ها را فراهم کند.

محقق امنیتی کیریل بویچنکو اظهار داشت: “این سرعت مداوم، Contagious Interview را به یکی از پرکارترین کمپین‌های سوءاستفاده از npm تبدیل کرده و نشان می‌دهد که بازیگران تهدید کره شمالی چگونه ابزارهای خود را کاملاً با گردش‌کاری توسعه مدرن JavaScript و متمرکز بر رمزارز تطبیق داده‌اند.” این توسعه در حالی رخ می‌دهد که وب‌سایت‌های جعلی با موضوع ارزیابی ایجاد شده توسط این بازیگران تهدید، از دستورالعمل‌های سبک ClickFix برای تحویل بدافزاری به نام GolangGhost استفاده کرده‌اند. این فعالیت تحت عنوان ClickFake Interview ردیابی می‌شود و برخلاف سایر طرح‌های کارگر IT کره شمالی که بر جاسازی بازیگران در کسب‌وکارهای مشروع متمرکز است، Contagious Interview برای به خطر انداختن افراد از طریق فرآیند مصاحبه‌های مرحله‌ای، تمرین‌های کدنویسی مخرب و پلتفرم‌های استخدام تقلبی طراحی شده است.