8 gói npm độc hại phát tán Overlord RAT và trình đánh cắp dữ liệu
"Researchers disclosed a long-running npm supply chain campaign, codenamed MALFEX, in which eight malicious packages delivered the Overlord RAT, a Node.js stealer, and a downloader to Windows systems. The packages were collectively downloaded 40,767 times, with some still live; the malicious behavior was triggered through lifecycle hooks and postinstall scripts that fetched and executed payloads from remote servers. No CVE was assigned to this npm campaign, and remediation is to remove the packages, rotate exposed credentials, and inspect affected hosts for downloaded executables and persistence."
Rủi ro cao do chuỗi cung ứng phần mềm bị lợi dụng để phát tán RAT và stealer; có thể dẫn đến mất thông tin xác thực và duy trì hiện diện trên máy Windows.
Có thể ảnh hưởng đến môi trường phát triển, máy trạm Windows và quy trình CI/CD; phát sinh chi phí ứng phó sự cố và xoay vòng tài khoản.
Các nhà nghiên cứu an ninh đã công bố một chiến dịch supply chain kéo dài trên npm, được đặt tên MALFEX, trong đó 8 gói độc hại đã được tải xuống tổng cộng 40.767 lần. Mục tiêu là hệ thống Windows, với ba nhánh tải mã khác nhau: bộ nạp cho Overlord RAT, một Node.js stealer và một downloader.
Theo báo cáo, các gói như tlxbnhd, tldriver, mxdriver dùng lifecycle hooks để tải và chạy tệp thực thi Windows từ máy chủ từ xa. Nhóm khác, gồm img-to-native và cdn-img-fetch, được dùng để lấy và thực thi payload Go, sau đó tải tiếp trình đánh cắp dữ liệu nhắm vào Discord, trình duyệt, Telegram và ví tiền mã hóa. Riêng function-flag có 37.419 lượt tải, và vẫn còn một số gói đang hoạt động.
Biện pháp khuyến nghị là gỡ bỏ các gói liên quan, xoay vòng thông tin xác thực có thể đã lộ, và kiểm tra máy chủ bị ảnh hưởng để tìm tệp đã tải xuống cũng như cơ chế persistence. Sự cố này không có CVE được gán, nhưng có thể gây rủi ro đáng kể cho môi trường phát triển và máy trạm Windows.