MALFEX'e ait npm paketi imgdecode, shellcode yükleyicisini Windows eklentisine gizliyor

The Hacker News'in 17 Ekim'de yazılım tedarik zinciri güvenliği şirketi SafeDep'in analizine dayanarak aktardığına göre, uzun süredir devam eden MALFEX kampanyasıyla bağlantılı imgdecode adlı zararlı npm paketi, shellcode yükleyicisini derlenmiş bir Windows yerel eklentisinin içine gizliyor. Habere göre paket 30 Eylül'de malfexteste8 kullanıcısı tarafından yüklendi, yazının hazırlandığı sırada 979 kez indirilmişti ve hâlâ npm'de erişilebilir durumdaydı. Zararlı yükün JavaScript yerine ikili bir eklentide saklanması, kaynak kod incelemesiyle fark edilmesini zorlaştırıyor.

Neler oldu?

The Hacker News'e göre imgdecode, derlenmiş bir Node.js eklentisinin içindeki Windows DLL'ini yükleyen dokuz satırlık bir JavaScript dosyası içeriyor. Windows konsolunda çalışan bir Node.js programı require('imgdecode') çağrısı yaptığında DLL, GitHub'dan şifreli shellcode indiriyor, şifresini çözüyor ve yeni bir dllhost.exe sürecine enjekte ediyor.

Paketin önceki sürümleri, bir dosya yazıp bunu eklentiye aktaran imgbundle adlı yardımcı pakete bağımlıydı; 11 Ekim'de yayımlanan 1.0.3 sürümü bu bağımlılığı kaldırdı. npm, imgbundle paketini 7-8 Ekim'de kaldırmıştı.

Teknik detaylar

SafeDep'e göre DLL, 64 bit MSVC ile derlenmiş; bir geliştirici terminalinde çalışıp çalışmadığını kontrol ediyor ve gömülü yükün şifresini çözmeden önce bir GitHub deposundan JPG görseli indiriyor. Çözülen veri JPEG veya PNG imzasıyla başlıyorsa DLL çalışmayı durduruyor; SafeDep bunun operatörün yükleyiciyi kapatmak için kullandığı bir anahtar olabileceğini değerlendiriyor.

Habere göre ilk olarak Checkmarx ve CloudSEK tarafından belgelenen MALFEX kampanyası, 6 Ağustos 2023'ten bu yana malfexkkj, malfex_user ve malfexteste2-malfexteste4 gibi yayıncı adlarıyla Windows'u hedef alan npm paketleri yayımlıyor. Kampanyanın paketleri Overlord RAT için yükleyici olarak kullanıldı ve %APPDATA%\Microsoft\Windows\node_runtime_helper.exe konumuna bir Go programı bırakan Node.js tabanlı bir bilgi hırsızı zinciri (cdn-img-fetch, img-to-native, native-runner) oluşturdu. Son aşamadaki hırsız; kurtarma ifadelerini, .kdbx, .pem, .ppk ve .env dosyalarını, Chromium tarayıcı verilerini, Discord ve Telegram verilerini, kripto para cüzdanlarını ve oyun hesaplarını hedef alıyor, WebSocket üzerinden uzaktan kontrol imkânı sunuyor. Kalıcılığı bir Registry Run anahtarı ve MicrosoftEdgeUpdateService adlı zamanlanmış görevle sağlıyor.

Kimler etkileniyor?

imgdecode veya diğer MALFEX paketlerini kuran Windows'taki geliştiriciler ve derleme sistemleri risk altında. The Hacker News, operatörün kaldırılan paketlerin yerine sürekli yenilerini yüklediğine dikkat çekiyor.

Ne yapmalı?

• Bağımlılık ağaçlarını ve kilit dosyalarını imgdecode, imgbundle, runhelper ve yukarıda adı geçen diğer paketler açısından tarayın.
• Bu paketlerin kurulduğu Windows sistemlerini ele geçirilmiş olabilir kabul edip ağdan yalıtın.
• MicrosoftEdgeUpdateService zamanlanmış görevini, Run anahtarı kalıcılığını ve 104.234.65.75 adresine bağlantıları arayın.
• Kimlik bilgilerini değiştirin; makinede kurtarma ifadeleri saklandıysa varlıkları yeni cüzdanlara taşıyın.