Ars Technica · Разработка · 3 ч назад
Самораспространяющееся вредоносное ПО отравляет программное обеспечение с открытым исходным кодом и уничтожает компьютеры, расположенные в Иране
Девелоперские дома: пришло время проверить ваши сети на наличие инфекций.
Подробности
TEAMPCP НАНОСИТ СНОВА Самораспространяющееся вредоносное ПО отравляет программное обеспечение с открытым исходным кодом и уничтожает иранские компьютеры. Разработчики: пришло время проверить ваши сети на наличие инфекций.
Группа, отслеживаемая под названием TeamPCP, впервые стала известна в декабре, когда исследователи из охранной компании Flare заметили, что она выпустила червя, нацеленного на облачные платформы, которые не были должным образом защищены. Целью было создать распределенную прокси-сервер и инфраструктуру сканирования, а затем использовать ее для компрометации серверов для кражи данных, внедрения программ-вымогателей, вымогательства и майнинга криптовалюты. Группа известна своими навыками крупномасштабной автоматизации и интеграции известных методов атак.
Совсем недавно TeamPCP развернула неустанную кампанию, используя постоянно развивающееся вредоносное ПО, чтобы взять под свой контроль все больше систем. В конце прошлой недели он скомпрометировал практически все версии широко используемого сканера уязвимостей Trivy в ходе атаки на цепочку поставок после получения привилегированного доступа к учетной записи GitHub компании Aqua Security, создателя Trivy.
На выходных исследователи заявили, что наблюдали, как TeamPCP распространяла мощное вредоносное ПО, которое также было оснащено червями, а это означает, что оно могло автоматически распространяться на новые машины, без необходимости взаимодействия с жертвой за клавиатурой. После заражения компьютера вредоносная программа ищет на нем токены доступа к репозиторию npm и компрометирует все доступные для публикации пакеты, создавая новую версию с добавлением вредоносного кода. Айкидо наблюдал, как червь атаковал 28 пакетов менее чем за 60 секунд.
Первоначально злоумышленнику приходилось вручную распространять червя по каждому пакету, к которому имел доступ скомпрометированный токен npm. В более поздних версиях, выпущенных на выходных, это требование было удалено, что сделало его еще более доступным.