Op 26 juli hebben onderzoekers van Kaspersky met behulp van het interne geautomatiseerde systeem voor het monitoren van open-source repositories een kwaadaardige campagne met de naam LofyLife geïdentificeerd. De campagne gebruikte 4 kwaadaardige pakketten die Volt Stealer en Lofy Stealer malware verspreidden in de open-source npm repository om verschillende gegevens van slachtoffers te verzamelen, waaronder Discord tokens en creditcardgegevens, en om ze na verloop van tijd te bespioneren.
De npm repository is een openbare verzameling van open-source codepakketten die op grote schaal worden gebruikt in front-end webapps, mobiele apps, robots en routers, en ook om te voorzien in talloze behoeften van de JavaScript-gemeenschap. De populariteit ervan maakt de LofyLife-campagne nog gevaarlijker, aangezien deze mogelijk talloze gebruikers van de repository had kunnen treffen.
De geïdentificeerde kwaadaardige repositories leken pakketten te zijn die werden gebruikt voor gewone taken, zoals het opmaken van koppen of bepaalde spelfuncties, maar ze bevatten sterk versluierde kwaadaardige JavaScript- en Python-code. Hierdoor waren ze moeilijker te analyseren wanneer ze naar de repository werden geüpload. De kwaadaardige payload bestond uit in Python geschreven malware met de naam Volt Stealer en een JavaScript-malware met de naam Lofy Stealer, die over talrijke functies beschikt.
Volt Stealer werd gebruikt om Discord tokens van de geïnfecteerde machines te stelen, samen met het IP-adres van het slachtoffer, en deze te uploaden via HTTP. De Lofy Stealer, een nieuwe ontwikkeling van de aanvallers, kan Discord-clientbestanden infecteren en de acties van het slachtoffer in de gaten houden - detecteren wanneer een gebruiker inlogt, e-mail- of wachtwoordgegevens wijzigt, multifactorauthenticatie in- of uitschakelt en nieuwe betaalmethoden toevoegt, inclusief volledige creditcardgegevens. Verzamelde informatie wordt ook geüpload naar de endpoint op afstand.
"Developers vertrouwen in hoge mate op open-source code repositories - zij gebruiken deze om de ontwikkeling van IT-oplossingen sneller en efficiënter te maken, en dragen in belangrijke mate bij aan de ontwikkeling van de IT-industrie als geheel. Zoals de LofyLife-campagne echter laat zien, kunnen zelfs gerenommeerde repositories niet standaard worden vertrouwd - alle code, inclusief open-source code, die een ontwikkelaar in zijn producten injecteert, wordt zijn eigen verantwoordelijkheid. We hebben detecties van deze malware aan onze producten toegevoegd, zodat gebruikers die onze oplossingen draaien, kunnen vaststellen of ze zijn geïnfecteerd en de malware kunnen verwijderen", aldus Leonid Bezvershenko, security-onderzoeker bij Kaspersky's Global Research and Analysis Team.
Kaspersky-producten detecteren LofyLife-malware als Trojan.Python.Lofy.a, Trojan.Script.Lofy.gen.
Kijk voor meer details over de campagne op
Securelist.
###
Over Kaspersky
Kaspersky, opgericht in 1977, is wereldwijd actief op het gebied van cybersecurity en digital privacy. Kaspersky’s threat intelligence en security-expertise worden voortdurend omgezet in innovatieve security-oplossingen en -diensten om bedrijven, kritieke infrastructuren, overheden en consumenten van over de hele wereld te beschermen. Het uitgebreide securityportfolio van het bedrijf omvat toonaangevende endpoint security en een aantal gespecialiseerde security-oplossingen en -diensten om geavanceerde digitale bedreigingen te bestrijden. Meer dan 400 miljoen gebruikers en 240.000 zakelijke gebruikers worden beschermd door technologieën van Kaspersky. Kijk voor meer informatie op
www.kaspersky.nl.