Luna Grabber תוכנה זדונית מכוונת למפתחי גיימינג של Roblox

מתחילת החודש הזה, חוקרים ב-ReversingLabs מצאו שורה של חבילות זדוניות מרובות שלבים במאגר הציבורי של npm המשתילות תוכנה זדונית בקוד פתוח, גונבת מידע, הידועה בשם Luna Grabber.

כדי להדביק את קורבנותיה, החבילות מחקות חבילה לגיטימית, כגון noblox.js - "עטיפה של Node.js Roblox API המשמשת לכתיבת סקריפטים המקיימים אינטראקציה עם פלטפורמת המשחקים של רובלוקס," על פי ניתוח ReversingLabs על הקמפיין. החבילות הזדוניות משחזרות קוד מהחבילה הלגיטימית אך מוסיפות לתמהיל פונקציות של גניבת מידע. 

מפתחי הסקריפטים שבסופו של דבר פועלים על פלטפורמת Roblox עלולים, בלי משים, ליפול טרף ללונה גראבבר, שהיא "תוכנה זדונית בקוד פתוח שנועדה לגנוב מידע מדפדפן האינטרנט המקומי של המשתמש, אפליקציית Discord ועוד", לפי ReversingLabs.

החוקרים נתקלו לראשונה סוגים אלה של מסעות פרסום תוך כדי ניטור של מאגר ציבורי של npm, ו-noblox.js-vps הייתה החבילה הזדונית הראשונה שהם נתקלו בהם. החבילה הציגה התנהגויות חשודות, כגון ביצוע פקודות בשורת הפקודה, המכילה כתובות URL המקושרות לקבצים מצורפים של Discord, ספירת קבצים בספרייה נתונה וספירת מידע משתמש, בין פעולות אחרות. מאז, חוקרי ReversingLabs זיהו גם חבילות זדוניות אחרות הדומות, כמו noblox.js-ssh ו-noblox.js-secure.

"למרות שההשפעה של noblox.js-vps וחבילות זדוניות אחרות במסע הפרסום הזה לא הייתה גבוהה, זו תזכורת לצוותי אבטחה ופיתוח תוכנה שאיומים אורבים באופן עקבי במאגרי קוד פתוח, מה שהופך את הבחירה באיזו חבילה לכלול ב תהליך הפיתוח קריטי", כתבו החוקרים.