0xNews - 암호화폐 채굴 공격 캠페인과 관계된 NPM 패키지 발견

Checkmarx 발표

CuteBoi 로 명명

NPM 공급망을 통한 배포를 통한 악의적인 활동을 실하게 되며 1,000개 이상 각기 다른 사용자 계정에서 자동화된 방식으로 1283개 악성 모듈 포함하여 공격 전개

NPM 2FA 통과하는 기능을 포함하는 자동화를 사용하여 수행

현재까지 확인된 패키지 클러스터들은 전체가 확인되지 않고 있음

문제가 된 릴리스된 모든 패키지는 웹 서버에서 사용되지 않은 자원을 활용하여 모네로 Monero 채굴

이에 사용되는 eazyminer 이라는 기존 패키지와 거의 동일한 소스코드 확인

이번 캠페인에서 주목할 점은 채굴된 암호화폐가 전송되어야 하는 URL 을 수반하지만 악성 모듈을 설치해도 부정적인 영향을 미치지 않음

eazyminer 에서 복사한 코드에는 독립실행형 도구가 아니라 다른 프로그램 내에서 실행되도록 의도된 채굴 기능 포함

2022년 초 RED-LILI 경우 패키지에서 공격자가 2FA 보호를 무력화할 수 있도록 하는 자동화 기술 탑재

RED-LILI 를 포함한 이전 공격 캠페인은 공격자가 만든 서버와의 통신을 위해 Selenium 이나 Interactsh 와 같은 도구와 조합하여 사용하도록 프로그래밍

CuteBoi 는 mail.tm 이라는 일회용 이메일 서비스를 활용

mail.tm 등의 무료 플랫폼은 Rest API 를 제공하여 프로그램이 일화용 사서함을 열고 간단한 API 호출로 수신된 이메일을 읽을 수 있도록 하여 공격자가 사용자 계정을 생성할 때 2FA 문제를 우회할 수 있도록 함

openLab