NuGet に悪意のパッケージ：.NET 開発者に SeroXen RAT を配信している

Malicious NuGet Package Targeting .NET Developers with SeroXen RAT

2023/10/12 TheHackerNews — .NET Framework のための NuGet パッケージ・マネージャーにホストされている悪質なパッケージが、SeroXen RAT というリモート・アクセス型のトロイの木馬を配信していることが判明した。このパッケージは、Pathoschild.Stardew.Mod.Build.Config と名付けられ、Disti というユーザーにより公開されているが、正規のパッケージであるPathoschild.Stardew.ModBuildConfig を装うタイポスクワッティングであると、サプライチェーン・セキュリティ会社 Phylum が、今日のレポートで指摘している。現時点において、正規のパッケージは約79,000ダウンロードを記録しているが、2023年10月6日に公開された悪意の亜種の方は、ダウンロード数を人為的に水増して、100,000 ダウンロードを超えているとされる。

悪意のパッケージで用いられているプロファイルには、累計で約 210万ダウンロードに達する、６種類のパッケージを公開していると記されている。そのうちの４つは、Kraken／KuCoin／Solana／Monero といった暗号サービスのライブラリを装っているが、 SeroXen RAT を展開するように設計されている。

この攻撃チェーンは、パッケージのインストール中に “tools/init.ps1” スクリプトにより開始される。この悪意のスクリプトは、警告を発することなくコードを実行し、次の段階のマルウェアを取得するように設計されている。この “init.ps1” スクリプト の問題は、2023年3月の時点で JFrog により公表されている。

その当時の JFrog は、「この “init.ps1″ スクリプトは非推奨ではあるが、Visual Studio で依然として使用されており、NuGet パッケージのインストール時に警告を発することなく実行される。したがって攻撃者は、”.ps1″ ファイルの中に悪意のコマンドを書くことが可能となる」と述べている。

Phylum が分析したパッケージ内の PowerShell スクリプトは、リモートサーバから “x.bin” というファイルをダウンロードする。このファイルの実体は、高度に難読化された Windows バッチスクリプトであり、SeroXen RAT を展開する別の PowerShell スクリプトを構築／実行する役割を担っている。

既製のマルウェアである SeroXen RAT は、$60 のライフタイム・バンドルで販売されており、サイバー犯罪者が容易にアクセスできるようになっている。その機能はファイルレス RAT であり、Quasar RAT／r77 rootkit／Windows CLI NirCmd の機能を組み合わせたものである。

Phylumは「NuGet パッケージでの SeroXen RAT の発見が浮き彫りにするのは、攻撃者が悪用するオープンソースのエコシステムにより、開発者が騙され続けているという現実である」と述べている。

同社が Python Package Index (PyPI) リポジトリで検出した７つのパッケージは、Aliyun／Amazon Web Services (AWS)／Tencent Cloud などのクラウド・プロバイダーの正規の製品になりすまし、難読化されたリモート URL に認証情報を密かに送信するものである。

それらの悪意のパッケージ名は、以下のとおりである。

  • tencent-cloud-python-sdk
  • python-alibabacloud-sdk-core
  • alibabacloud-oss2
  • python-alibabacloud-tea-openapi
  • aws-enumerate-iam
  • enumerate-iam-aws
  • alisdkcore

Phylumは「このキャンペーンは、攻撃者は開発者の信頼を悪用するものであり、機密性の高いクラウド認証情報の流出を目的としている。そのために、既存の確立されたコードベースを利用し、悪意のコードを少しだけ挿入している。その巧妙さにより、正規のパッケージの本機能は維持され、検出レーダーを潜り抜けていく。攻撃者の戦略は、最小限のシンプルなものだが効果的だ」と述べている。

その一方で Checkmarx も、同じキャンペーンを追跡しており、追加の詳細情報を共有している。それは、Telegram の API と対話する Python ライブラリ “telethon” を模倣する、”telethon2″ という名前の偽パッケージである。

これは Telegram をターゲットに設計された偽ライブラリであり、そのダウンロードの大半は米国からとなり、そこに中国／シンガポール／香港／ロシア／フランスがなどが続く。

Python library


Checkmarx は、「これらのパッケージ内の悪意のコードは、自動的に実行されるのではなく、関数の中に戦略的に隠されている。そして、関数が呼び出されたときにのみ、起動するように設計されている。攻撃者は、Typosquatting と StarJacking のテクニックを活用して、開発者を悪意のパッケージに誘い込んだ」と述べている。

また、今月の初めに Checkmarx が暴露したキャンペーンは、Windows ホストから機密データと暗号通貨を盗むためのものだ。そこキャンペーンは、ソフトウェア・サプライチェーンに 271種類の悪意の Python パッケージを配信するものであり、PyPI を狙い続け、執拗で徐々に洗練されていった。

それらのパッケージは、システム側の防御を解除する機能も備えており、これまでに、約 75,000回もダウンロードされている。

今年は、.NET 開発者たちのコミュニティやリポジトリにも脅威が生じてくだろうという予測がありましたが、NuGet 汚染に関する２回目の記事が登場ました。前回のものは、2023/03/20 の「.NET 開発者がターゲット：NuGet に展開された悪意のパッケージを追跡」です。よろしければ、VSCode で検索も、ご利用ください。