Nieuwe kwaadaardige campagne jaagt op Discord-tokens en creditcardgegevens via geïnfecteerde open-source npm-pakketten

De npm repository is een openbare verzameling van open-source codepakketten die op grote schaal worden gebruikt in front-end webapps, mobiele apps, robots en routers, en ook om te voorzien in talloze behoeften van de JavaScript-gemeenschap. De populariteit ervan maakt de LofyLife-campagne nog gevaarlijker, aangezien deze mogelijk talloze gebruikers van de repository had kunnen treffen.

De geïdentificeerde kwaadaardige repositories leken pakketten te zijn die werden gebruikt voor gewone taken, zoals het opmaken van koppen of bepaalde spelfuncties, maar ze bevatten sterk versluierde kwaadaardige JavaScript- en Python-code. Hierdoor waren ze moeilijker te analyseren wanneer ze naar de repository werden geüpload. De kwaadaardige payload bestond uit in Python geschreven malware met de naam Volt Stealer en een JavaScript-malware met de naam Lofy Stealer, die over talrijke functies beschikt.

Volt Stealer werd gebruikt om Discord tokens van de geïnfecteerde machines te stelen, samen met het IP-adres van het slachtoffer, en deze te uploaden via HTTP. De Lofy Stealer, een nieuwe ontwikkeling van de aanvallers, kan Discord-clientbestanden infecteren en de acties van het slachtoffer in de gaten houden - detecteren wanneer een gebruiker inlogt, e-mail- of wachtwoordgegevens wijzigt, multifactorauthenticatie in- of uitschakelt en nieuwe betaalmethoden toevoegt, inclusief volledige creditcardgegevens. Verzamelde informatie wordt ook geüpload naar de endpoint op afstand.

"Developers vertrouwen in hoge mate op open-source code repositories - zij gebruiken deze om de ontwikkeling van IT-oplossingen sneller en efficiënter te maken, en dragen in belangrijke mate bij aan de ontwikkeling van de IT-industrie als geheel. Zoals de LofyLife-campagne echter laat zien, kunnen zelfs gerenommeerde repositories niet standaard worden vertrouwd - alle code, inclusief open-source code, die een ontwikkelaar in zijn producten injecteert, wordt zijn eigen verantwoordelijkheid. We hebben detecties van deze malware aan onze producten toegevoegd, zodat gebruikers die onze oplossingen draaien, kunnen vaststellen of ze zijn geïnfecteerd en de malware kunnen verwijderen", aldus Leonid Bezvershenko, security-onderzoeker bij Kaspersky's Global Research and Analysis Team.

Kaspersky-producten detecteren LofyLife-malware als Trojan.Python.Lofy.a, Trojan.Script.Lofy.gen.

Kijk voor meer details over de campagne op Securelist