Маскирующий платежный пакет npm устанавливает бэкдор

Исследователи кибербезопасности из компании Socket обнаружили вредоносный пакет npm, который перехватывает управление сервером во время платежных операций.

Пакет, @naderabdi/merchant-advcash, маскируется под легитимную интеграцию для цифровой платежной платформы Advcash (сейчас ребрендирована как Volet). В пакет встроен обратный шелл, активируемый после успешных платежей, который позволяет злоумышленникам удаленно управлять системами.

Платформа Advcash, хотя и является нишевой по сравнению с основными сервисами, такими как PayPal, часто используется на серых криптовалютных биржах и в оффшорных финансовых системах, что используется угрожающими субъектами для уклонения от проверок. Результаты исследования Socket свидетельствуют о растущей тенденции, когда вредоносное ПО нацелено на высоконадежные рабочие процессы в платежных экосистемах.

Вредоносный модуль npm имитирует настоящую логику обработки платежей, выполняя хеширование SHA-256, проверку учетных данных и симуляцию транзакций. Однако его метод url_success(), срабатывающий после оплаты, запускает обратную оболочку, подключая серверы жертв к контролируемому злоумышленником IP-адресу.

В отличие от типичных атак на цепочки поставок, которые активируются во время установки, эта полезная нагрузка откладывает выполнение до успешной транзакции, что позволяет обойти инструменты статического анализа и атаковать производственные среды.

Используя такие модули Node.js, как net и child_process, оболочка предоставляет злоумышленникам неограниченный доступ к выполнению команд, утечке данных или переходу во внутренние сети.

Сложность пакета заключается в смешивании вредоносного кода с легитимными функциями:

• Реалистичные функции: Проверка валют, хэширование платежных токенов и динамическое получение учетных данных API.
• Контекстно-зависимая активация: Реверсивная оболочка срабатывает только во время обратных вызовов при успешной оплате - в момент ослабления бдительности.
• Минимальный след: Никаких ошибок или отдельных скриптов; вредоносная логика встроена в стандартную обработку HTTP-ответов.

«Это призвано укрепить доверие к модулю, поощряя разработчиков глубоко интегрировать его в производственные среды, тем самым максимально расширяя возможности злоумышленника после срабатывания обратной оболочки», - отмечают исследователи Socket.

О вредоносном пакете, маскирующемся под легитимную интеграцию платежей, было сообщено, и он был удален из npm, но подобные угрозы, вероятно, сохраняются.

«Это напоминание разработчикам и командам безопасности: ничему нельзя доверять вслепую. Даже пакеты, которые кажутся специально созданными для электронной коммерции или платежей, могут оказаться троянскими конями для более глубокой компрометации», - заключает Socket.