بسته‌ی مخرب جدید npm با نام ‘fezbox’ از کدهای QR برای دریافت بدافزار سرقت کوکی از سرور مهاجمان استفاده می‌کند. این بسته که خود را به عنوان یک کتابخانه ابزاری معرفی می‌کند، از این تکنیک نوآورانه استگانوگرافی (steganography) برای جمع‌آوری اطلاعات حساس مانند اعتبارنامه‌های کاربری از دستگاه‌های آلوده بهره می‌برد. تیم تحقیقات تهدیدات Socket این بسته مخرب را شناسایی کرد که در npmjs.com منتشر شده و تا زمان حذف توسط مدیران رجیستری، حداقل ۳۲۷ بار دانلود شده بود.
بدافزار با استفاده از تکنیک‌های پیشرفته مخفی‌سازی عمل می‌کند؛ URL مخرب به صورت معکوس ذخیره شده تا از ابزارهای تحلیل استاتیک فرار کند و کد QR حاوی payload مبهم‌سازی شده است که توسط دوربین‌های معمولی تلفن همراه قابل خواندن نیست. پس از ۱۲۰ ثانیه، کد اجرا شده و اطلاعات کوکی‌ها شامل نام کاربری و رمز عبور را از طریق درخواست HTTPS POST به سرور کنترل و فرماندهی (C2) ارسال می‌کند. این روش جدید نشان می‌دهد که مهاجمان می‌توانند از کدهای QR برای برقراری ارتباط با سرورهای خود استفاده کنند که برای ابزارهای امنیت شبکه مانند ترافیک عادی تصاویر به نظر می‌رسد.
کلمات کلیدی : npm malware, QR code steganography, cookie theft, fezbox package, بدافزار npm, استگانوگرافی کد QR
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.