Lạm dụng các gói NPM độc hại

Là một phần của chiến dịch kỹ nghệ xã hội đã được phát hiện bởi Github, nhân viên tại các công ty công nghệ được gửi lời mời lưu trữ trên các kho lưu trữ GitHub có chứa phần mềm để tìm nạp các gói NPM độc hại nhằm lây nhiễm mã độc trên máy tính của nạn nhân.

“Nhiều tài khoản được nhắm mục tiêu này được kết nối liên quan đến blockchain hoặc tiền điện tử. Một vài mục tiêu cũng được liên kết với chủ đề về an ninh mạng. Không có hệ thống GitHub hoặc NPM nào bị xâm phạm trong chiến dịch này”, Github cho biết.

GitHub quy kết chiến dịch đang diễn ra được thực hiện bởi một nhóm tin tặc của Bắc Triều Tiên có tên gọi là “Jade Sleet” (hay “TraderTraitor”). Để thiết lập các cuộc tấn công, Jade Sleet mạo danh nhà phát triển hoặc nhà tuyển dụng, tạo tài khoản cá nhân giả mạo trên GitHub, LinkedIn, Slack và Telegram hoặc kiểm soát các tài khoản hợp pháp. Những tài khoản này sau đó được sử dụng để liên hệ với nhân viên tại các công ty công nghệ, những người được mời cộng tác trên một kho lưu trữ. Sau đó, nhóm tin tặc này thuyết phục nạn nhân sao chép kho lưu trữ và thực thi trên máy của họ, dẫn đến lây nhiễm mã độc.

“Tác nhân đe dọa thường chỉ phân phối các gói độc hại khi chúng mở rộng lời mời vào kho lưu trữ gian lận, giúp giảm thiểu việc gói độc hại mới bị giám sát và phát hiện”, GitHub giải thích.

Trong một số trường hợp, các dịch vụ nhắn tin hoặc nền tảng chia sẻ tệp có thể được sử dụng để phân phối các gói độc hại và bắt đầu chuỗi lây nhiễm. GitHub cho biết đã tạm thời vô hiệu hóa các tài khoản NPM và GitHub liên quan đến các cuộc tấn công, đồng thời gửi báo cáo lạm dụng cho các tên miền được xác định vẫn còn khả dụng.

Liên quan đến chiến dịch kỹ nghệ xã hội này, một cuộc tấn công tương tự sử dụng các gói NPM độc hại đã được báo cáo bởi công ty an ninh mạng Phylum vào cuối tháng 6/2023. Gần đây nhất là cuộc tấn công mạng JumpCloud được công ty bảo mật SentinelOne phát hiện vào ngày 20/7 có liên quan đến các tin tặc Bắc Triều Tiên.

Cách thức phòng tránh

Để phòng ngừa các cuộc tấn công này, GitHub khuyến nghị khách hàng thực hiện một số biện pháp như sau:

• Nếu nhận được bất kỳ yêu cầu sao chép hoặc tải xuống nội dung liên kết với một trong các tài khoản được ghi chú, người dùng cần cẩn trọng vì rất khó thể bị nhắm mục tiêu tấn công.
• Có thể xem lại nhật ký bảo mật với sự kiện "action:repo.add_member" nhằm xác định xem người dùng đã từng chấp nhận lời mời vào kho lưu trữ từ một trong các tài khoản được ghi chú chưa.
• Nâng cao cảnh giác với những lời mời chào trên mạng xã hội để cộng tác hoặc cài đặt các gói hoặc phần mềm NPM phụ thuộc vào chúng.
• Kiểm tra kỹ càng các gói phụ thuộc và tập lệnh cài đặt. Trong trường hợp nghi ngờ là mục tiêu của chiến dịch, người dùng nên chủ động liên hệ với bộ phận an ninh mạng của tổ chức để kịp thời ngăn chặn xâm nhập mạng.
• Nên đặt lại hoặc xóa các thiết bị có khả năng bị ảnh hưởng bởi cuộc tấn công, thay đổi mật khẩu tài khoản và các thông tin xác thực được lưu trữ.