SeroXen RAT ile .NET Geliştiricilerini Hedefleyen Kötü Amaçlı NuGet Paketi - Dünyadan Güncel Teknoloji Haberleri

SeroXen RAT ile .NET Geliştiricilerini Hedefleyen Kötü Amaçlı NuGet Paketi - Dünyadan Güncel Teknoloji Haberleri

Şirket, “Bu paketlerdeki kötü amaçlı kod, otomatik yürütme yerine stratejik olarak işlevlerin içine gizlendi ve yalnızca bu işlevler çağrıldığında tetiklenecek şekilde tasarlandı” dedi

Paketlerin adları aşağıda listelenmiştir –

  • tencent-cloud-python-sdk’si
  • python-alibabacloud-sdk-çekirdeği
  • Alibabacloud-oss2
  • python-alibabacloud-çay-openapi
  • aws-numaralandır-iam
  • numaralandır-iam-aws
  • alisdkcore

Phylum, “Bu kampanyada saldırgan, geliştiricinin güvenini suiistimal ediyor, mevcut, köklü bir kod tabanını alıyor ve hassas bulut kimlik bilgilerini sızdırmayı amaçlayan tek bir bitlik kötü amaçlı kod ekliyor Build “Bir saldırgan 000 indirme alırken, kötü amaçlı varyantın 6 Ekim 2023’te yayınlandıktan sonra indirme sayısını yapay olarak şişirerek 100 Mod ps1 betiği Visual Studio tarafından hala kabul ediliyor ve bir NuGet paketi yüklenirken herhangi bir uyarı olmadan çalışacak

Bu gelişme, şirketin Python Paket Dizini (PyPI) deposunda Aliyun, Amazon Web Services (AWS) ve Tencent Cloud gibi bulut hizmet sağlayıcılarının yasal tekliflerini taklit ederek kimlik bilgilerini gizlenmiş bir uzaktan kumandaya gizlice ileten yedi kötü amaçlı paket tespit etmesiyle gerçekleşti 000 kez indirildi ”

Phylum tarafından analiz edilen pakette, PowerShell betiği uzak bir sunucudan x

Paketin arkasındaki profil, kümülatif olarak en az 2,1 milyon indirme sayısına ulaşan altı paket daha yayınladı; bunlardan dördü Kraken, KuCoin, Solana ve Monero gibi çeşitli kripto hizmetleri için kitaplık görünümüne büründü ancak aynı zamanda SeroXen RAT’ı dağıtmak için tasarlandı Quasar RAT, r77 rootkit ve Windows komut satırı aracının işlevlerini birleştiren dosyasız bir RAT’tır

Pathoschild Dağıtımadı verilen meşru bir paketin yazım hatasıdır Pathoschild ” kayıt edilmiş Sonuçta SeroXen RAT’ı dağıtmak için PowerShell betiği

“Bu incelik, saldırganın paketlerin orijinal işlevselliğini koruma stratejisinde yatıyor, tabiri caizse radarın altından uçmaya çalışıyor ModBuildConfigyazılım tedarik zinciri güvenlik firması Phylum söz konusu bugün bir raporda

Gerçek paket bugüne kadar yaklaşık 79 NirCmd Stardew Config adlı paket, adlı bir kullanıcı tarafından yayınlandı Saldırı minimalist ve basit ama yine de etkili ps1 betiği aracılığıyla paketin kurulumu sırasında başlatılıyor; bu davranış daha önce JFrog tarafından Mart 2023’te bir sonraki aşamadaki kötü amaçlı yazılımları almak için kullanıldığı açıklanmıştı

Kullanıma hazır bir kötü amaçlı yazılım olan SeroXen RAT, ömür boyu paket olarak 60 $ karşılığında satışa sunuluyor ve bu da onu siber suçluların kolayca erişebilmesini sağlıyor söz konusu

Phylum, “NuGet paketlerinde SeroXen RAT’ın keşfi, saldırganların açık kaynaklı ekosistemlerden ve bunları kullanan geliştiricilerden nasıl yararlanmaya devam ettiğinin altını çiziyor” dedi Stardew

Saldırı zinciri, herhangi bir uyarıyı tetiklemeden kod yürütmeyi gerçekleştirmek için tasarlanmış bir Tools/init



siber-2


“Saldırganlar, geliştiricileri kötü amaçlı paketlerine çekmek için Typosquatting ve StarJacking tekniklerinden yararlandı NET Framework için NuGet paket yöneticisinde barındırılan kötü amaçlı bir paketin, SeroXen RAT adlı bir uzaktan erişim truva atı yaydığı tespit edildi 000 indirmeyi aştığı söyleniyor ps1 dosyasının içine rastgele komutlar yazabilir

Sistem savunmasını ortadan kaldıracak işlevlerle de donatılmış olarak gelen paketler, kaldırılmadan önce toplu olarak yaklaşık 75 bin adlı bir dosyayı indirmek için kullanılıyor; bu aslında oldukça karmaşık bir Windows Batch betiğidir ve bu da başka bir dosyanın oluşturulmasından ve yürütülmesinden sorumludur ” söz konusu o zaman

JFrog, “Kullanımdan kaldırılmış olmasına rağmen init

Sahte kütüphanelerin indirilmesinin çoğunluğu ABD’den geliyor ve onu Çin, Singapur, Hong Kong, Rusya ve Fransa takip ediyor ”

Aynı kampanyanın ek ayrıntılarını da paylaşan Checkmarx, Telegram’ın API’si ile etkileşime geçmek için bir Python kütüphanesi olan telethon’u taklit etmeyi amaçlayan telethon2 adlı aldatıcı bir paket aracılığıyla Telegram’ı hedeflemek için tasarlandığını söyledi URL’si ”

Bu ayın başında Checkmarx daha fazla açığa çıktı PyPI’yi yazılım tedarik zincirine tohumlamayı amaçlayan amansız ve giderek karmaşıklaşan bir kampanya 271 kötü amaçlı Python paketi Windows ana bilgisayarlarından hassas verileri ve kripto para birimini çalmak için