Kaspersky-Experten haben vor zwei Tagen, am
26. Juli, mithilfe des internen automatisierten Systems zur Überwachung von
Open-Source-Repositories eine neue schädliche Kampagne namens ‚LofyLife‘
entdeckt [1]. Die Kampagne nutzt vier schädliche Pakete, die die Malware ‚Volt
Stealer‘ und ‚Lofy Stealer‘ im Open-Source-npm-Repository verbreiten. Sie
sammeln verschiedene Informationen von ihren Opfern, darunter Discord-Token und
Kreditkarteninformationen, und spionieren diese im Laufe der Zeit aus.
Das npm-Repository ist eine öffentliche Sammlung von Open-Source-Code-Paketen,
die in Front-End-Web-Apps, mobilen Apps, Robotern und Routern weit verbreitet
sind und auch unzählige Anforderungen der JavaScript-Community erfüllen. Die
Popularität dieses Repositorys macht die LofyLife-Kampagne noch gefährlicher,
da sie möglicherweise zahlreiche Nutzer des Repositorys betreffen könnte.
Die identifizierten schädlichen Repositories schienen Pakete zu sein, die für
gewöhnliche Aufgaben wie das Formatieren von Überschriften oder bestimmte
Spielfunktionen verwendet werden. Sie enthielten jedoch stark verschleierten
schädlichen JavaScript- und Python-Code. Dies erschwerte die Analyse beim
Hochladen in das Repository. Der schädliche Payload bestand aus der Malware
Volt Stealer, die in Python geschrieben wurde, sowie der JavaScript-Malware
Lofy Stealer, diezahlreiche Funktionen besitzt.
Volt Stealer wurde verwendet, um Discord-Tokens und die IP-Adressen der
Betroffenen von den infizierten Computern zu stehlen und sie über HTTP hochzuladen.
Der Lofy Stealer, eine Neuentwicklung der Angreifer, kann
Discord-Client-Dateien infizieren und die Aktionen des Opfers überwachen. Die
Malware erkennt, wenn sich ein Nutzer anmeldet, E-Mail- oder Passwortdetails
ändert, die Multi-Faktor-Authentifizierung aktiviert oder deaktiviert und neue
Zahlungsmethoden hinzufügt, einschließlich vollständiger Kreditkartendaten. Die
gesammelten Informationen werden zudem auf den Remote-Endpoint hochgeladen.
Leonid Bezvershenko, Sicherheitsforscher im globalen Forschungs- und
Analyseteam (GReAT) von Kaspersky, kommentiert die entdeckte Kampagne wie
folgt:
„Entwickler verlassen sich stark auf Open-Source-Code-Repositories – sie
nutzen sie, um die Entwicklung von IT-Lösungen schneller und effizienter zu
gestalten. Sie tragen insgesamt erheblich zur Entwicklung der IT-Branche bei.
Wie die LofyLife-Kampagne zeigt, kann jedoch selbst seriösen Repositories nicht
standardmäßig vertraut werden – sämtlicher Code, den ein Entwickler in seine
Produkte einfügt, einschließlich Open-Source-Code, liegt in seiner eigenen
Verantwortung. Wir haben Kennungen dieser Malware zu unseren Produkten
hinzugefügt, damit Anwender, die unsere Lösungen nutzen, feststellen können, ob
sie infiziert wurden, und die Malware entfernen können.“
Kaspersky-Produkte erkennen LofyLife-Malware als Trojan.Python.Lofy.a,
Trojan.Script.Lofy.gen.
Weitere Informationen sind verfügbar https://securelist.com/lofylife-malicious-npm-packages/107014/
[1] https://securelist.com/lofylife-malicious-npm-packages/107014/