Un ataque a «gran escala» está dirigido a los desarrolladores de Microsoft Azure a través de paquetes npm maliciosos.
El miércoles, los investigadores de seguridad cibernética de JFrog dijeron que se identificaron cientos de paquetes maliciosos, creados para robar información valiosa de identificación personal (PII) de los desarrolladores.
Según los investigadores Andrey Polkovnychenko y Shachar Menashe, los repositorios se detectaron por primera vez el 21 de marzo y crecieron constantemente de aproximadamente 50 paquetes npm maliciosos a más de 200 en cuestión de días.
Los malhechores responsables de los repositorios de npm han desarrollado un script automatizado que apunta al alcance de @azure npm, junto con @azure-rest, @azure-tests, @azure-tools y @cadl-lang.
El script es responsable de crear cuentas y cargar los conjuntos de npm, que incluyen servicios de contenedor, un bot de salud, evaluadores y paquetes de almacenamiento.
JFrog dice que se ha utilizado typosquatting para tratar de engañar a los desarrolladores para que descarguen los archivos. En el momento de escribir este artículo, estos paquetes contenían malware para robar información.
Typosquatting es una forma de phishing en la que se realizan pequeños cambios en una dirección de correo electrónico, archivo o dirección de sitio web para imitar un servicio o contenido legítimo. Por ejemplo, un atacante podría apuntar a los usuarios de «your-company.com» registrando un nombre de dominio con «tu-c0mpany.com», y al reemplazar una sola letra, esperan que las víctimas no se den cuenta de que el recurso es fraudulento.
En este caso, los paquetes malintencionados se crean con el mismo nombre que un paquete de alcance de @azure existente, pero han eliminado el alcance.
La contraparte maliciosa, perdiendo el alcance JFrog
«El atacante se basa en el hecho de que algunos desarrolladores pueden omitir erróneamente el prefijo @azure al instalar un paquete», dicen los investigadores. «Por ejemplo, ejecutar npm install core-tracing por error, en lugar del comando correcto: npm install @azure/core-tracing».
Además, todos los paquetes de npm recibieron números de versión altos, lo que podría indicar intentos de ataques de confusión de dependencias.
«Dado que este conjunto de paquetes legítimos se descarga decenas de millones de veces cada semana, existe una alta probabilidad de que el ataque de typosquatting engañe con éxito a algunos desarrolladores», agregó JFrog.
JFrog ha proporcionado una lista completa de los paquetes npm maliciosos detectados hasta el momento. Los mantenedores de Npm han eliminado los archivos maliciosos, pero los desarrolladores de Azure deben estar alerta ante más actividades de este actor de amenazas.
Ver también
¿Tienes un consejo? Póngase en contacto de forma segura a través de WhatsApp | Señal al +447713 025 499, o más en Keybase: charlie0
