Gli Hacker della Corea del Nord attaccano NPM con del Malware

Redazione RHC : 6 Agosto 2024 07:17

Il 7 luglio di quest’anno un utente del repository per sviluppatori npm con il nickname “nagasiren978” ha pubblicato due pacchetti dannosi: “harthat-hash” e “harthat-api”, che contengono codice che installa ulteriore malware dal server C2 degli aggressori. Gli obiettivi principali di questi attacchi erano i sistemi basati su Windows.

I metodi e l’infrastruttura utilizzati nei pacchetti dannosi corrispondono alle tattiche di un gruppo di hacker legato alla RPDC, che Microsoft rintraccia con il nome MOONSTONE SLEET.

All’interno dell’azienda Datadog, che per prima ha scoperto i pacchetti dannosi sopra menzionati, questo cluster di minacce si chiama “Stressed Pungsan”. Questo nome è associato a una razza di cane allevata nella Corea del Nord.

Sponsorizza la prossima Red Hot Cyber Conference!

Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.
Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.
Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.
Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.

Supporta Red Hot Cyber attraverso:

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

L’obiettivo degli hacker era penetrare nelle catene di fornitura del software e negli ambienti degli sviluppatori. Dopo aver ottenuto l’accesso necessario, gli aggressori rubano informazioni personali, API e chiavi di accesso ai servizi cloud e si spostano anche attraverso altri sistemi delle vittime.

Per combattere tali minacce, il team di sicurezza di Datadog ha sviluppato un’infrastruttura di scansione dei pacchetti per PyPi e npm utilizzando il software GuardDog. Durante la scansione del 7 luglio gli specialisti hanno scoperto due pacchetti dal comportamento sospetto.

I pacchetti “harthat-hash” versione 1.3.3 e “harthat-api” versione 1.3.1 utilizzavano script preinstallati per eseguire e quindi eliminare i file “.js”. Tali script contenevano collegamenti a domini sospetti e caricavano file DLL dannose lanciate utilizzando “rundll32.exe”.

Entrambi i pacchetti si sono rivelati quasi identici nel contenuto, differendo solo per il valore del parametro id nei collegamenti al server C2. Il codice dannoso ha scaricato il file “Temp.b”, lo ha rinominato “package.db” e lo ha eseguito tramite “rundll32.exe”. Dopo l’esecuzione, lo script è stato eliminato e il file “package.json” è stato sostituito con “pk.json”, rendendo difficile il rilevamento di attività dannose.

Gli aggressori hanno utilizzato il codice del popolare repository “node-config” e hanno aggiunto alcune modifiche dannose. Vale la pena notare che i pacchetti sono stati rimossi da npm molto rapidamente, non dai moderatori, ma dall’autore stesso.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Gli Hacker della Corea del Nord attaccano NPM con del Malware

Articoli in evidenza