Šta se desilo?

Checkmarx je 5. oktobra opisao kampanju MALFEX sa osam zlonamernih npm paketa. Statistika do 1. oktobra beleži 40.767 preuzimanja, što ne predstavlja broj uspešnih infekcija.

Koga pogađa?

Rizik se odnosi na Windows okruženja koja su instalirala ili učitala zlonamerne pakete. Istraživači nisu utvrdili posebno geografsko ili organizaciono ciljanje.

Kako se zaštititi?

  • Proverite zavisnosti, lock fajlove, keš i interne registre prema imenima i verzijama iz polja affected.
  • Blokirajte zlonamerne pakete. Onemogućavanje instalacionih skripti nije potpuna zaštita jer deo koda radi pri učitavanju paketa.
  • Ako postoji izloženost na Windows računaru, izolujte ga i istražite izvršavanje malvera. Sa čistog uređaja opozovite izložene tokene i sesije i promenite kompromitovane pristupne podatke.

Tehnički detalji

Kampanja koristi odvojene lance: Overlord RAT loader, movinlike kradljivac podataka i downloader u paketu function-flag. Fajl predstavljen kao PNG u prvom lancu zapravo je izvršna arhiva; drugi lanac koristi šifrovane podatke dodate iza kraja stvarne PNG slike. Movinlike cilja i podatke iz browser-a.

Zašto je važno?

Uklanjanje paketa iz registra ne uklanja već pokrenuti malver. Preuzimanja takođe ne dokazuju zarazu, pa obim incidenta treba utvrditi na konkretnim sistemima.

Preporuka Sajber Radara

Ne tretirajte obično ažuriranje kao sanaciju. Pregledajte razvojne računare i CI okruženja, pa obnovite poverenje u sistem i izložene naloge pre nastavka rada.