Авторы
26 июля, используя внутреннюю автоматизированную систему для мониторинга открытых репозиториев, мы обнаружили четыре подозрительных пакета в репозитории Node Package Manager (npm). Все они содержали сильно обфусцированный вредоносный код на Python и JavaScript. Мы дали этой вредоносной кампании название LofyLife.
Описание пакета proc-title (Перевод: Этот пакет корректно делает заглавными буквы в заголовках согласно Чикагскому руководству по стилю)
Зловредный код на Python представляет собой модифицированную версию общедоступного троянца Volt Stealer. Он предназначен для кражи токенов Discord с зараженных устройств и сбора IP-адресов жертв с последующей отправкой по HTTP-протоколу. JavaScript-зловред, который мы назвали Lofy Stealer, заражает файлы клиента Discord, чтобы отслеживать действия жертвы. В частности, он отслеживает вход пользователя в систему, смену адреса электронной почты или пароля, включение/выключение многофакторной аутентификации (MFA) и добавление новых методов оплаты со всеми данными банковской карты. Собранная информация тоже отправляется на удаленную машину, адрес которой жестко прописан в коде.
Данные отправляются на адреса, размещенные на Replit:
- life.polarlabs.repl[.]co
- Sock.polarlabs.repl[.]co
- idk.polarlabs.repl[.]co
Решения «Лаборатории Касперского» детектируют эту угрозу как:
- HEUR:Trojan.Script.Lofy.gen
- Trojan.Python.Lofy.a
Мы также проводим непрерывный мониторинг репозиториев, чтобы отслеживать появление новых вредоносных пакетов.
Хронология публикации пакетов
| Имя пакета | Версия | Временная метка (UTC) |
| small-sm | 8.2.0 | 2022-07-17 20:28:29 |
| small-sm | 4.2.0 | 2022-07-17 19:47:56 |
| small-sm | 4.0.0 | 2022-07-17 19:43:57 |
| small-sm | 1.1.0 | 2022-06-18 16:19:47 |
| small-sm | 1.0.9 | 2022-06-17 12:23:33 |
| small-sm | 1.0.8 | 2022-06-17 12:22:31 |
| small-sm | 1.0.7 | 2022-06-17 03:36:45 |
| small-sm | 1.0.5 | 2022-06-17 03:31:40 |
| pern-valids | 1.0.3 | 2022-06-17 03:19:45 |
| pern-valids | 1.0.2 | 2022-06-17 03:12:03 |
| lifeculer | 0.0.1 | 2022-06-17 02:50:34 |
| proc-title | 1.0.3 | 2022-03-04 05:43:31 |
| proc-title | 1.0.2 | 2022-03-04 05:29:58 |
Более подробно мы описали этот инцидент в закрытом отчете для клиентов портала сервиса Kaspersky Threat Intelligence.
Авторы
От тех же авторов
В той же категории
LofyLife: вредоносные npm-пакеты для кражи токенов Discord и данных банковских карт