16/06/25
Речь идёт не о единичных инцидентах, а о целой волне сложных атак, нацеленных на разработчиков и корпоративную инфраструктуру, использующую облачные сервисы и системы непрерывной интеграции.
Одним из таких инцидентов стало обнаружение вредоносного пакета под названием chimera-sandbox-extensions, загруженного на PyPI, пишут в Securitylab. Пакет выдавал себя за вспомогательный модуль к Chimera Sandbox — сервису для экспериментальной разработки решений на базе машинного обучения. На самом деле он был предназначен для кражи конфиденциальной информации, связанной с окружением разработчиков.
Вредоносное ПО собирало следующие данные:
- JAMF receipts (установленные через Jamf Pro пакеты);
- токены аутентификации в изолированных средах Pod Sandbox и данные git-репозиториев;
- переменные окружения CI/CD-сред;
- конфигурации Zscaler и AWS;
- публичный IP-адрес, информация о системе, пользователе и хосте.
Собранные данные передавались через POST-запрос на удалённый домен, сгенерированный с помощью алгоритма генерации доменных имён (DGA). Там же происходило определение дальнейших действий — стоит ли целевая машина дополнительных усилий. Несмотря на то что конечный вредоносный компонент получить не удалось, архитектура заражения позволяет судить о высоком уровне подготовки атаки и специфичности её целей — корпоративные Mac-системы, CI/CD-инфраструктура и облачные платформы.
Тем временем похожие атаки были замечены и в JavaScript-экосистеме. Аналитики SafeDep и Veracode опубликовали отчёты о вредоносных npm-пакетах, которые также были направлены на скрытную доставку вредоносного кода:
- eslint-config-airbnb-compat (676 загрузок)
- ts-runtime-compat-check (1 588 загрузок)
- solders (983 загрузки)
- @mediawave/lib (386 загрузок)
Пакет ts-runtime-compat-check оказался зависимостью от eslint-config-airbnb-compat и использовал внешнюю связь с доменом proxy.eslint-proxy[.]site для загрузки и выполнения вредоносной строки. В случае с solders вредоносная нагрузка запускалась автоматически после установки за счёт скрипта post-install. При этом код был замаскирован с использованием японских символов в качестве имён переменных и продвинутой цепочки генерации кода, усложняющей анализ.
После установки происходила многоступенчатая атака: на Windows-машинах выполнялся PowerShell-скрипт, загружавший .bat-файл с другого сервера, изменявший настройки Windows Defender и запускал .NET DLL. Эта библиотека извлекала ещё одну .NET DLL из скрытых пикселей PNG-изображения, размещённого на ImgBB. Полученный исполняемый файл оказывался Pulsar RAT — вариантом Quasar RAT, трпояна с возможностью обхода контроля учётных записей (UAC), создания задач в планировщике и дальнейшего скрытного управления системой.
