Złośliwe oprogramowanie Luna Grabber atakuje twórców gier Roblox

Od początku tego miesiąca badacze z ReversingLabs znaleźli w publicznym repozytorium npm mnóstwo złośliwych, wieloetapowych pakietów, które implantują szkodliwe oprogramowanie typu open source kradnące informacje, znane jako Luna Grabber.

Aby infekować swoje ofiary, pakiety imitują legalny pakiet, taki jak noblox.js — „opakowanie API Node.js Roblox używane do pisania skryptów wchodzących w interakcję z Platforma do gier Roblox” – wynika z analizy kampanii ReversingLabs. Szkodliwe pakiety odtwarzają kod z legalnego pakietu, ale dodają do tego funkcje kradnące informacje. 

Według ReversingLabs twórcy skryptów, które ostatecznie działają na platformie Roblox, mogą nieświadomie paść ofiarą Luna Grabber, czyli „złośliwego oprogramowania typu open source zaprojektowanego w celu kradzieży informacji z lokalnej przeglądarki internetowej użytkownika, aplikacji Discord i nie tylko”.

Badacze natknęli się na to jako pierwsi tego typu kampanie podczas monitorowania publiczne repozytorium npm, a noblox.js-vps był pierwszym złośliwym pakietem, na jaki natrafili. Pakiet wykazywał podejrzane zachowania, takie jak między innymi wykonywanie poleceń z wiersza poleceń, zawieranie adresów URL prowadzących do załączników Discorda, wyliczanie plików w danym katalogu i wyliczanie informacji o użytkowniku. Od tego czasu badacze ReversingLabs zidentyfikowali także inne podobne szkodliwe pakiety, takie jak noblox.js-ssh i noblox.js-secure.

„Mimo że wpływ noblox.js-vps i innych złośliwych pakietów w tej kampanii nie był duży, jest to przypomnienie dla zespołów ds. bezpieczeństwa i rozwoju oprogramowania, że ​​zagrożenia stale czyhają w repozytoriach open source, co powoduje, że wybór pakietu do umieszczenia w proces rozwoju ma kluczowe znaczenie” – napisali badacze.