Nordkoreanische Hacker infizieren mehr als 300 Entwickler mit npm-Malware für Krypto-Diebstahl
Lazarus zielt auf Solana- und Exodus-Geldbörsen
Die Lazarus-Gruppe hat Hunderte von Softwareentwicklern infiziert und über npm-Pakete Malware verbreitet, um Anmeldeinformationen zu stehlen, Krypto-Wallet-Daten zu extrahieren und eine dauerhafte Backdoor zu installieren.
Nach Recherchen des Socket Research Teams haben nordkoreanische Hacker von Lazarus sechs bösartige Pakete auf npm hochgeladen, die auf Entwickler und Krypto-Nutzer abzielen.
Diese bösartigen Pakete - die über 300 Mal heruntergeladen wurden - zielen darauf ab, Anmeldeinformationen zu stehlen, Backdoors einzurichten und sensible Daten aus Solana- und Exodus-Wallets zu extrahieren.
Die Malware zielt speziell auf Browserprofile ab und scannt Dateien von Chrome, Brave und Firefox sowie macOS-Schlüsselbunddaten.
Wie Lazarus die Malware verbreitet
Zu den identifizierten bösartigen Paketen gehören:
is-buffer-validator
yoojae-validator
Ereignis-Handle-Paket
array-empty-überprüfer
react-event-Abhängigkeit
auth-validator
Diese Pakete nutzen Typosquatting-Techniken, um Entwickler dazu zu verleiten, sie unter leicht falsch geschriebenen Namen herunterzuladen.
"Die gestohlenen Daten werden dann an einen fest kodierten C2-Server unter hxxp://172.86.84[.]38:1224/uploads übertragen, der der gut dokumentierten Strategie von Lazarus zum Sammeln und Exfiltrieren kompromittierter Informationen folgt", so der Bedrohungsanalyst Kirill Boychenko von Socket Security.
Entschärfung der Bedrohung
Laut Socket Security werden Lazarus und andere fortschrittliche Bedrohungsakteure ihre Infiltrationstaktiken voraussichtlich weiter verfeinern.
Um diese Risiken einzudämmen, sollten Unternehmen einen mehrschichtigen Sicherheitsansatz implementieren, der Folgendes umfasst
Automatische Abhängigkeitsüberprüfungen und Code-Reviews, um Anomalien in Paketen von Drittanbietern aufzuspüren, vor allem in solchen mit wenigen Downloads oder ungeprüften Quellen.
Kontinuierliche Überwachung von Abhängigkeitsänderungen, um bösartige Aktualisierungen zu erkennen.
- Blockieren von ausgehenden Verbindungen zu bekannten C2-Endpunkten, um eine Datenexfiltration zu verhindern.
- Isolierung von nicht vertrauenswürdigem Code in kontrollierten Umgebungen und Einsatz von Endpunktsicherheitslösungen zur Erkennung verdächtiger Dateisystem- oder Netzwerkaktivitäten.
- Aufklärung von Entwicklern über Typosquatting-Taktiken, um die Wachsamkeit zu erhöhen und eine ordnungsgemäße Überprüfung vor der Installation neuer Pakete durchzuführen.
Wie wir bereits berichteten, haben die Behörden in einer dramatischen Wendung in der laufenden Geschichte der Sicherheitsverletzungen bei Kryptowährungen die berüchtigte Lazarus Group als Urheber des jüngsten Bybit-Exploits identifiziert .
