Солтүстік кореялық хакерлер HashiCorp реестрі арқылы Terraform провайдерлерімен Go-зиянды бағдарлама таратады
Материал бірнеше дереккөз негізінде жасанды интеллектпен дайындалды — түпнұсқаларға сілтемелер төменде.
Киберқауіпсіздік зерттеушілері HashiCorp реестріндегі екі Terraform провайдері мен екі Go модулі арқылы таратылатын Go-зиянды бағдарламаны анықтады, бұл платформаның зиянды жүктемелерді жеткізу үшін алғаш рет пайдаланылуы. Зиянды бағдарлама Солтүстік Корея хакерлеріне тиесілі Graphalgo науқанымен байланысты. Шабуыл тізбегі шифрланған жүктемелерді және Slack пен Ethereum Sepolia тестілік желісі арқылы басқару арналарын пайдаланады.
Негізгі фактілер
- HashiCorp реестріндегі екі Terraform провайдері мен екі Go модулі Go-зиянды бағдарламаны тарату үшін пайдаланылды, жүктеу саны сәйкесінше 222 және 1449.
- Зиянды бағдарлама 2026 жылдың ақпанында ReversingLabs алғаш рет құжаттаған және Солтүстік Корея хакерлеріне тиесілі Graphalgo науқанымен байланысты.
- Шабуылдаушылар әзірлеушілермен LinkedIn, Facebook және жұмыс форумдары арқылы байланысып, өздерін жоқ Web3 компаниялары ретінде таныстырып, зиянды тәуелділіктері бар кодтау тапсырмаларын орындауды сұрады.
- Осы аптада Checkmarx, JFrog және SafeDep дәл сол зиянды бағдарламаны жеткізетін жаңа зиянды npm пакеттерін анықтады, оның ішінде indexed-btree, mathsbase және graphcore-js.
- Имплант Slack арнасымен әр 10 секунд сайын байланысып, басқару үшін Ethereum Sepolia тестілік желісіндегі смарт-келісімшартты пайдаланады.
Зиянды пакеттердің таралуы
Aikido тарату векторлары ретінде gocommunity-io/dockerd және kreuzwenker/docker Terraform провайдерлерін, сондай-ақ gocommunity.io/orderedbtree және gogets.dev/btreex Go модульдерін анықтады. Провайдерлердің жүктеу саны сәйкесінше 222 және 1449 болды, бұл әзірлеушілердің белсенді пайдалануын көрсетеді. Бұл шабуылдаушылардың зиянды жүктемелерді жеткізу үшін HashiCorp орталықтандырылған репозиторийін алғаш рет пайдалануы. Осы пакеттер арқылы таратылатын зиянды бағдарлама Солтүстік Корея хакерлеріне тиесілі Graphalgo науқанымен байланысты.
Шабуыл тізбегі және инфрақұрылым
JFrog мәліметтері бойынша, пайдалы жүктеме құрбан белгілі бір матрицасы бар сызықтық жүйені шешкенде ғана шифры ашылады. Имплант Ethereum Sepolia тестілік желісіндегі смарт-келісімшарттан командалар алады және Slack арқылы екінші байланыс арнасын ашық ұстайды. Ол Slack conversations.history соңғы нүктесін әр 10 секунд сайын сұрап, пакет түріне қарай әрекеттерді орындайды: Start, Chunk немесе End. SafeDep блокчейн арқылы өтетін жол қашықтағы деректердің шифрын ашып, subwatcher жазып, оны Node.js көмегімен іске қосатынын хабарлады. Шифрланған пайдалы жүктеменің нақты функциялары белгісіз болып қалады, өйткені ол асимметриялық криптографиямен шифрланған.
Әлеуметтік инженерия және npm пакеттері
Әлеуетті әзірлеушілерді LinkedIn, Facebook және жұмыс форумдары арқылы өздерін жоқ Web3 компаниялары ретінде таныстырған шабуылдаушылар тапты. Олардан зиянсыз GitHub репозиторийін беріп, npm немесе PyPI-де жарияланған тәуелділік арқылы зиянды әрекетті енгізетін кодтау тапсырмаларын орындау сұралды. Осы аптада Checkmarx, JFrog және SafeDep дәл сол зиянды бағдарламаны жеткізетін жаңа зиянды npm пакеттерін анықтады, оның ішінде indexed-btree, mathsbase және graphcore-js. Кейбір жағдайларда зиянды бағдарламаның орындалуы белгілі бір криптографиялық операция орындалғанда ғана іске қосылады, бұл мақсатты операцияны көрсетеді.
1 дереккөз
Уақыт · артта қалуы