Luna Grabber-malware richt zich op Roblox Gaming-ontwikkelaars

Sinds begin deze maand hebben onderzoekers van ReversingLabs een groot aantal kwaadaardige, uit meerdere fasen bestaande pakketten gevonden in de openbare repository van npm die een open source, informatiestelende malware implanteren die bekend staat als Luna Grabber.

Om de slachtoffers te infecteren, imiteren de pakketten een legitiem pakket, zoals noblox.js – “een Node.js Roblox API-wrapper die wordt gebruikt om scripts te schrijven die communiceren met de Roblox-gamingplatform”, aldus een analyse van ReversingLabs over de campagne. De kwaadaardige pakketten reproduceren code van het legitieme pakket, maar voegen functies voor het stelen van informatie toe aan de mix. 

Ontwikkelaars van de scripts die uiteindelijk op het Roblox-platform draaien, zouden dus onbewust ten prooi kunnen vallen aan Luna Grabber, een “open-source malware die is ontworpen om informatie te stelen uit de lokale webbrowser van de gebruiker, de Discord-applicatie en meer”, aldus ReversingLabs.

De onderzoekers kwamen als eerste op dit soort campagnes tijdens het monitoren van de npm openbare repository, en noblox.js-vps was het eerste kwaadaardige pakket dat ze tegenkwamen. Het pakket vertoonde verdacht gedrag, zoals het uitvoeren van opdrachten op de opdrachtregel, het bevatten van URL's die linkten naar Discord-bijlagen, het opsommen van bestanden in een bepaalde map en het opsommen van gebruikersinformatie, naast andere acties. Sindsdien hebben onderzoekers van ReversingLabs ook andere kwaadaardige pakketten geïdentificeerd die vergelijkbaar zijn, zoals noblox.js-ssh en noblox.js-secure.

“Ook al was de impact van noblox.js-vps en andere kwaadaardige pakketten in deze campagne niet groot, het is een herinnering voor beveiligings- en softwareontwikkelingsteams dat er voortdurend bedreigingen op de loer liggen in open source-opslagplaatsen, waardoor de keuze wordt gemaakt welk pakket moet worden opgenomen in het ontwikkelingsproces is cruciaal”, schreven de onderzoekers.