Сразу семь вредоносных пакетов были удалены из официального Rust-репозитория Crates (crates.io). Это всего второй случай обнаружения вредоносного ПО на портале. Вредоносные пакеты собирали информацию об операционной системе пользователя и передавали данные своим операторам через Telegram.
Как сообщают эксперты компании Phylum, пакеты postgress, if-cfg, xrvrv, serd, Oncecell, lazystatic и envlogger были загружены в Crates с 14 по 16 августа 2023 года пользователем с ником amaperf.
В ходе таких атак хакеры обычно создают пакеты с именами, похожими на настоящие названия популярных пакетов (то есть используют тайпсквоттинг). Как правило, при изначальной загрузке в репозиторий пакеты злоумышленников безопасны, и лишь через несколько дней или недель хакеры добавляют в них вредоносные функции, которые можно использовать против разработчиков.
По данным Phylum, в случае с атакой на Crates злоумышленник действовал таким же образом, но подозрительные пакеты были обнаружены на ранней стадии атаки. Лишь в некоторых случаях хакеру удалось добавить в пакеты вредоносный код, предназначенный для отправки информации о скомпрометированном хосте в специальный Telegram-канал.
Неизвестно, какую цель преследовала эта кампания. Исследователи полагают, что атака была обнаружена на раннем этапе, и злоумышленник, вероятно, собирался скомпрометировать как можно больше разработчиков, а затем развернуть в их системах вредоносное обновление, нацеленное на кражу секретов и конфиденциальных данных.
Как сообщают эксперты компании Phylum, пакеты postgress, if-cfg, xrvrv, serd, Oncecell, lazystatic и envlogger были загружены в Crates с 14 по 16 августа 2023 года пользователем с ником amaperf.
В ходе таких атак хакеры обычно создают пакеты с именами, похожими на настоящие названия популярных пакетов (то есть используют тайпсквоттинг). Как правило, при изначальной загрузке в репозиторий пакеты злоумышленников безопасны, и лишь через несколько дней или недель хакеры добавляют в них вредоносные функции, которые можно использовать против разработчиков.
По данным Phylum, в случае с атакой на Crates злоумышленник действовал таким же образом, но подозрительные пакеты были обнаружены на ранней стадии атаки. Лишь в некоторых случаях хакеру удалось добавить в пакеты вредоносный код, предназначенный для отправки информации о скомпрометированном хосте в специальный Telegram-канал.
Неизвестно, какую цель преследовала эта кампания. Исследователи полагают, что атака была обнаружена на раннем этапе, и злоумышленник, вероятно, собирался скомпрометировать как можно больше разработчиков, а затем развернуть в их системах вредоносное обновление, нацеленное на кражу секретов и конфиденциальных данных.
«Имея доступ к SSH-ключам, производственной инфраструктуре и интеллектуальной собственности компаний, разработчики становятся чрезвычайно ценной целью для злоумышленников», — пишут исследователи.
В настоящее время вредоносные пакеты уже удалены из Crates, а учетная запись amaperf заблокирована. Об инциденте также уведомили GitHub, и компания тоже приняла меры в отношении этой учетной записи.
Напомню, что первый случай обнаружения малвари в Crates имел место в мае 2023 года. Тогда специалисты SentinelOne заметили вредоносную кампанию CrateDepression, в рамках которой хакеры использовали тайпсквоттинг и нацеливались на кражу конфиденциальной информации и загрузку произвольных файлов в системы жертв.
Напомню, что первый случай обнаружения малвари в Crates имел место в мае 2023 года. Тогда специалисты SentinelOne заметили вредоносную кампанию CrateDepression, в рамках которой хакеры использовали тайпсквоттинг и нацеливались на кражу конфиденциальной информации и загрузку произвольных файлов в системы жертв.
Источник: Хакер