Злоумышленники публикуют новую волну вредоносных пакетов в менеджере пакетов NuGet в рамках кампании, которая началась в августе 2023 года. Кроме того, их стало еще сложнее обнаружить.
Около 60 новых пакетов, охватывающих 290 версий, демонстрируют усовершенствованный подход по сравнению с предыдущим набором, который появился в октябре 2023 года.
По словам исследователя безопасности Карло Занки, злоумышленники перешли от использования интеграций NuGet с MSBuild к «стратегии, которая использует простые, завуалированные загрузчики, которые вставляются в подлинные двоичные файлы PE с помощью Intermediary Language (IL) Weaving, техники программирования .NET для модификации кода программы после компиляции».
Конечной целью поддельных пакетов является доставка готового трояна для удаленного доступа под названием SeroXen RAT. Все выявленные с того момента пакеты удаляются.
Последняя коллекция пакетов характеризуется использованием новой техники под названием IL weaving, которая позволяет внедрять вредоносную функциональность в двоичный файл Portable Executable (PE) .NET, связанный с подлинным пакетом NuGet.
Это предполагает использование популярных пакетов с открытым исходным кодом, таких как Guna.UI2.WinForms, и исправление их с помощью вышеупомянутого метода для создания поддельного пакета, который называется «Gսոa.UI3.Wіnfօrms», используя омонимы для замены букв “u”, “n”, “i” и “o” на их эквиваленты “ս” (\u057D), “ո” (\u0578), “і” (\u0456) и “օ” (\u0585).
«Злоумышленники постоянно совершенствуют методы и тактику, которые они используют для компрометации и заражения вредоносным кодом, используемым для извлечения конфиденциальных данных или предоставления злоумышленникам контроля над ИТ-активами», — отметил Занки.
«Эта последняя кампания подчеркивает новые способы, с помощью которых злоумышленники пытаются обмануть разработчиков и службы безопасности, заставляя их загружать и использовать вредоносные или поддельные пакеты из популярных менеджеров пакетов с открытым исходным кодом, таких как NuGet».
Источник: The Hacker News
