Un ataque a la cadena de suministro a gran escala distribuyó más de 800 paquetes NPM maliciosos
Un ataque a gran escala a la cadena de suministro distribuyó más de 800 paquetes NPM maliciosos
Un actor de amenazas denominado RED-LILI, se vinculó a una campaña de ataques a la cadena de suministro a gran escala, ahora en curso, al repositorio de paquetes NPM mediante la publicación de casi 800 módulos maliciosos.
Estos hallazgos se basan en informes recientes de JFrog y Sonatype, que detallaron cientos de paquetes de NPM que aprovechan técnicas como la confusión de dependencias y los errores tipográficos para apuntar a los desarrolladores de Azure, Uber y Airbnb.
Según un análisis detallado del modus operandi de RED-LILI, se cree que la evidencia más temprana de actividad anómala ocurrió el 23 de febrero de 2022, con el grupo de paquetes maliciosos publicados en «ráfagas» en el lapso de una semana.
Específicamente, el proceso de automatización para cargar las bibliotecas no autorizadas en NPM, que Checkmarx describió como una «fábrica», implica el uso de una combinación de código Python personalizado y herramientas de prueba web como Selenium para simular las acciones del usuario necesarias para replicar el proceso de creación de usuarios en el registro.
Para superar la barrera de verificación de la contraseña de un solo uso (OTP) establecida por NPM, el atacante aprovecha una herramienta de código abierto llamada Interactsh para extraer la OTP enviada por los servidores NPM a la dirección de correo electrónico proporcionada durante el registro, lo que permite efectivamente la solicitud de creación de cuenta para tener éxito.
Armado con esta nueva cuenta de usuario de NPM, el actor de amenazas crea y publica un paquete malicioso, solo uno por cuenta, de forma automática, pero no antes de generar un token de acceso para publicar el paquete sin requerir el desafío de un correo electrónico OTP.