13 gói npm phát tán mã đánh cắp WeaselBiscuit
"Security researchers identified 13 malicious npm packages that delivered a previously undocumented JavaScript stealer dubbed WeaselBiscuit. The malware is triggered on import, loads its payload from Npoint, profiles hosts, and harvests Chrome extension storage across Windows, macOS, and Linux; on Windows it can also capture clipboard contents and keystrokes. No CVE is associated with this supply-chain malware, and the article notes no definitive attribution despite overlaps with DPRK-linked tooling."
Rủi ro chuỗi cung ứng npm cao, có thể dẫn đến đánh cắp dữ liệu trình duyệt và ghi lại thao tác trên Windows.
Có thể ảnh hưởng đến môi trường phát triển, làm lộ dữ liệu nhạy cảm và tăng nguy cơ xâm nhập lan rộng qua phụ thuộc phần mềm.
Các nhà nghiên cứu an ninh đã phát hiện 13 gói npm độc hại phát tán một trình đánh cắp dữ liệu JavaScript mới có tên WeaselBiscuit. Mã độc này được kích hoạt ngay khi import npm, sau đó tải payload từ Npoint và thực thi trực tiếp trong bộ nhớ, thay vì lưu trữ lâu dài trên máy nạn nhân.
Theo phân tích, WeaselBiscuit có khả năng thu thập storage của Chrome extension trên Windows, macOS và Linux. Trên Windows, mã độc còn có thể ghi lại clipboard và phím bấm theo lệnh từ máy điều khiển C2. Dữ liệu bị thu thập có thể bao gồm trạng thái hoặc thông tin nhạy cảm của các tiện ích mở rộng, trong đó có tiện ích liên quan đến ví tiền điện tử.
Nhóm nghiên cứu cho biết chiến dịch này có một số điểm tương đồng với công cụ liên quan đến DPRK/Contagious Interview, nhưng hiện chưa có bằng chứng निर्ण định để quy kết chắc chắn. Đây là một rủi ro điển hình của chuỗi cung ứng phần mềm trong hệ sinh thái mã nguồn mở.
Khuyến nghị: kiểm tra và gỡ bỏ các gói @biz44/, engin1, id79-client, process-lhpm, process-mite, process-tailwind nếu xuất hiện trong dự án; rà soát package-lock.json và node_modules; giám sát truy cập tới Npoint và các miền C2 liên quan; đồng thời tăng cường kiểm soát phụ thuộc npm và cảnh báo hành vi bất thường trên máy phát triển.