Зловмисне програмне забезпечення Luna Grabber націлено на розробників ігор Roblox

З початку цього місяця дослідники з ReversingLabs виявили в загальнодоступному сховищі npm безліч шкідливих багатоетапних пакетів, які імплантують зловмисне програмне забезпечення з відкритим вихідним кодом, що викрадає інформацію, відоме як Luna Grabber.

Щоб заразити своїх жертв, пакунки імітують легітимний пакет, наприклад noblox.js — «обгортку Node.js Roblox API, яка використовується для написання сценаріїв, які взаємодіють із Ігрова платформа Roblox”, згідно з аналізом кампанії ReversingLabs. Шкідливі пакети відтворюють код легітимного пакета, але додають функції крадіжки інформації. 

Відповідно до ReversingLabs, розробники скриптів, які зрештою працюють на платформі Roblox, можуть мимоволі стати жертвами Luna Grabber, яка є «шкідливим програмним забезпеченням з відкритим кодом, призначеним для крадіжки інформації з локального веб-браузера користувача, програми Discord тощо».

Дослідники першими натрапили ці типи кампаній під час моніторингу публічний репозиторій npm, а noblox.js-vps був першим шкідливим пакетом, на який вони потрапили. Пакет демонстрував підозрілу поведінку, як-от виконання команд у командному рядку, містив URL-адреси, які посилалися на вкладення Discord, перераховував файли в заданому каталозі та перераховував інформацію про користувача, серед інших дій. Відтоді дослідники ReversingLabs також виявили інші шкідливі пакети, подібні до них, наприклад noblox.js-ssh і noblox.js-secure.

«Незважаючи на те, що вплив noblox.js-vps та інших шкідливих пакетів у цій кампанії був невеликим, це нагадування командам із безпеки та розробників програмного забезпечення, що загрози постійно ховаються у сховищах із відкритим вихідним кодом, змушуючи вибирати, який пакет включити до процес розробки критичний», – написали дослідники.