1. Een aanval op de softwaretoeleveringsketen is geïdentificeerd waarbij kwaadaardige npm-pakketten worden gebruikt om een Linux-backdoor in agenda- en streak-calculatietools te plaatsen.
2. De getroffen pakketten doen zich voor als kleine, afhankelijkheid-vrije hulpprogramma's voor datum-berekeningen, waarbij de geadverteerde functies naar behoren werken.
3. De kwaadaardige code, die een Linux-implant levert genaamd RedShell (geassocieerd met het RedC2 command-and-control framework), wordt gemakkelijk gemist omdat de pakketten legitieme datumfuncties leveren.
4. Wanneer een getroffen module wordt geïmporteerd, wordt het verborgen, gebundelde Linux-programma (`dist/index.mjs`) automatisch uitgevoerd bij het laden van de module.
5. Dit programma wijzigt de permissies van het binaire bestand en verifieert de SHA-256-waarde voordat het als een losstaand proces op de achtergrond wordt gestart, zonder installatiescript of verdachte functieaanroepen.
6. Deze methode omzeilt beschermingen zoals `--ignore-scripts`, aangezien er geen gebruik wordt gemaakt van lifecycle-hooks.
7. Vergelijkbare technieken tonen aan dat aanvallen op configuratiebestanden binnen de supply chain controles kunnen omzeilen die rond vertrouwde npm lifecycle-scripts zijn gebouwd.
8. Een directe of transitieve import kan de implant activeren, zelfs als de ontwikkelaar het pakket niet direct heeft geselecteerd, wat aangeeft dat een ogenschijnlijk onschadelijke afhankelijkheid een toegangspunt kan worden tot een productieomgeving.
9. Het binaire bestand, RedShell, is een native Linux-component die geïntroduceerd is in RedC2 4.0.
10. De implant kan inloggegevens verzamelen, waaronder SSH-sleutels, in de browser opgeslagen inloggegevens en databasegerelateerde bestanden.
11. Verder kan het een netwerk verkennen, verkeer door een geïnfecteerde machine leiden, en extra tools downloaden.
12. RedShell kan commando's uitvoeren, een reverse shell openen, bestanden overzetten en gebruikers, processen en netwerkinstellingen inspecteren.
13. Het ondersteunt SOCKS5-proxying, TCP-poortdoorsturing en tunneling, functies die een gecompromitteerde Linux-host kunnen omzetten in een brug naar anders onbereikbare systemen.
14. Het kan persistentie creëren via cron, shell-opstartbestanden, gebruikersniveau-services of desktop autostart-items, waardoor indringers duurzame toegang kunnen krijgen, zelfs nadat het oorspronkelijke pakket is verwijderd.
15. Het RedC2 framework bevat Red Agent, een functie die een verzoek in platte taal omzet in een reeks commando's voor een geïnfecteerd systeem, waardoor een operator sneller en gemakkelijker vervolgactiviteiten kan coördineren.
16. Hierdoor lopen broncode, cloudtoegang en interne services risico wanneer een vergiftigd pakket een vertrouwde build-keten bereikt.
17. Het risico lijkt op recente CI-credentialdiefstalincidenten waarbij ontwikkelaarsomgevingen waardevolle toegang boden buiten één werkstation.
18. Het aanscherpen van de goedkeuring van afhankelijkheden, het vastzetten van versies, het beoordelen van pakketinhoud en het beperken van permissies van het build-systeem verkleinen de potentiële schade.
19. Beveiligingsteams moeten lockfiles, pakketcaches en build-artefacten controleren op de getroffen pakketnamen en -versies.
20. Elk host dat een getroffen pakket heeft geïmporteerd, moet als potentieel gecompromitteerd worden behandeld.
21. Maatregelen omvatten isolatie van de host, rotatie van blootgestelde inloggegevens, inspectie van persistentie-locaties en controle van uitgaande verbindingen.
22. Verdedigers moeten letten op Node-processen die gebundelde .bin-bestanden naar uitvoerbare bestanden wijzigen, onverwachte achtergrondkinderen uit afhankelijkheidsmappen en verkeer naar specifieke adressen en poorten.
23. De implant gebruikt aparte, platte HTTP-paden voor datadiefstal en payload-downloads.
24. Voor incidentrespons moet prioriteit worden gegeven aan hosts met toegang tot broncodeopslagplaatsen, implementatiesleutels, cloud-tokens of productieomgevingen.
25. Zoek naar de RedShell-hash en bestandsnamen in endpointtelemetrie.
26. Blokkeer bevestigde kwaadaardige communicatie waar nodig en bewaar logs voordat systemen worden herbouwd.
27. Het verwijderen van een afhankelijkheid alleen verwijdert mogelijk geen gelanceerde implant of ongedaan gemaakte gestolen geheimen.
28. Dit geval benadrukt lessen uit cross-platform malware-leveringsaanvallen waarbij native payloads zich verbergen achter vertrouwde ontwikkeltools.
29. Het bewijs wijst op een dreiging die is ontworpen om een route voor netwerkcompromittering tot stand te brengen.
30. De combinatie van nuttige code en verborgen uitvoering maakt kwaadaardige npm-pakketcampagnes moeilijk te detecteren.