.NET 開発者がターゲット：NuGet に展開された悪意のパッケージを追跡

Hackers target .NET developers with malicious NuGet packages

2023/03/20 BleepingComputer — タイポスクワッティングにより複数の正規パッケージになりすました暗号通貨ステーラーが、NuGet リポジトリを通じて配信され、.NET 開発者をターゲットに感染し続けている。この継続的なキャンペーンを発見した、JFrog のセキュリティ研究者 Natan Nehorai と Brian Moussalli によると、そのうちの３つは、この１ヶ月の間に 15万回以上もダウンロードされているとのことだ。この膨大なダウンロード数は、システムを侵害された多数の .NET 開発者を示している可能性もありるが、悪意の NuGet パッケージを正当化するために、攻撃者が人為的に操作した結果なのかもしれない。


JFrog のセキュリティ研究者たちは、「Top-3 パッケージは、信じられないほどのダウンロード数に達しており、攻撃が大成功して大量のマシンに感染したことを示す、指標になる可能性がある。しかし、それらの悪意のパッケージを、より合法的に見せるために、ボットを使ってダウンロード数を膨らませた可能性もあるため、攻撃の成功の度合いを示す完全な指標とは言えない」と述べている。

また、脅威アクターたちは、NuGet リポジトリのプロファイルを作成する際にタイポスクワッティングを使用し、NuGet .NET パッケージ・マネージャに携わる Microsoft ソフトウェア開発者のアカウントを装っている。

Package NameOwnerDownloadsPublishedImpersonated package
Coinbase.CoreBinanceOfficial121.9K2023-02-22Coinbase
Anarchy.Wrapper.NetOfficialDevelopmentTeam30.4K2023-02-21Anarchy-Wrapper
DiscordRichPresence.APIOfficialDevelopmentTeam14.1K2023-02-21DiscordRichPresence
Avalon-Net-CorejoeIverhagen1.2k2023-01-03AvalonEdit
Manage.Carasel.NetOfficialDevelopmentTeam5592023-02-21N/A
Asip.Net.CoreBinanceOfficial2462023-02-22Microsoft.AspNetCore
Sys.Forms.26joeIverhagen2052023-01-03System.Windows.Forms
Azetap.APIDevNuget1532023-02-27N/A
AvalonNetCoreRahulMohammad672023-01-04AvalonEdit
Json.Manager.CoreBestDeveIopers462023-03-12Generic .NET name
Managed.Windows.CoreMahamadRohu372023-01-05Generic .NET name
Nexzor.Graphical.Designer.CoreImpala362023-03-12N/A
Azeta.APISoubata282023-02-24N/A

この悪意のパッケージは、PowerShell ベースのドロッパー・スクリプト (init.ps1) をダウンロード／実行し、感染させたマシン上で制限なしに PowerShell を実行できるように設定していく。研究者たちは、「この動作は、悪意のパッケージに顕著なものであり、特に [制限なし] の実行ポリシーのことを考えると、直ちにレッドフラグが立つはずだ」と説明している。

次のステップでは、第２段階のペイロードである Windows 実行ファイルをダウンロード／起動する。大半の脅威アクターたちは、オープンソース・ハッキングツールやコモディティ・マルウェアを使用するが、この独自のペイロードを作成するという手法は珍しいアプローチとなる。

PowerShell dropper script
PowerShell dropper script (BleepingComputer)

侵害したシステムに展開されたマルウェアは、Discord webhooks を使用して被害者の暗号ウォレットを流出させ、Electron アーカイブから悪意のコードを抽出して実行し、攻撃者が制御する Command and Control (C2) サーバに問い合わることで、自動に更新を行い、暗号通貨を盗み出していく。

研究者たちは、「一部のパッケージは、悪意のペイロードを取り込んでいないが、その代わりに、他の悪意のパッケージとの依存関係を定義することで、外部から悪意のスクリプトを取り込んでいた」と付け加えている。

この攻撃で配信された、一連のペイロードの検出率は極めて低く、Microsoft Windows OS に組み込まれているマルウェア対策コンポーネントである、Defender による悪意のフラグが立つこともなかった。

この攻撃は、より広範な悪意の取り組みの一部である。2022年を通じて、その他の攻撃者たちは、大規模キャンペーンの一環として、NPM／PyPI／NuGet などの複数のオープンソース・パッケージ・リポジトリ上に、144,000 件以上のフィッシング関連パッケージをアップロードするにまで至っている。

昨年から、GitHub／PyPI／npm などの、OSS コード・リポジトリに悪意のパッケージをアップロードし、開発者たちに感染させていくという、サプライチェーン攻撃が多発するようになりました。そして、2023/01/06 の「Visual Studio Code Marketplace の侵害は容易：悪意のエクステンションの登録方法とは？」で指摘されたように、この種の攻撃が .NET 環境へと広がってきたようです。

2023/02/03：VS アドインを悪用するマルウェア：リモート配布
2023/02/03：MalVirt という .NET マルウェア・ローダー
2023/01/16：Java と .NET のデベロッパー：大量の脆弱性

%d bloggers like this: