CẢNH BÁO TẤN CÔNG CHUỖI CUNG ỨNG

Các nhà nghiên cứu bảo mật vừa phát hiện hoạt động độc hại trong các phiên bản mới của thư viện npm Node-IPC, nhắm trực tiếp vào việc thu thập thông tin nhạy cảm từ môi trường phát triển.

Các phiên bản bị ảnh hưởng

node-ipc@9.1.6

node-ipc@9.2.3

node-ipc@12.0.1

Cơ chế đánh cắp dữ liệu tinh vi

Mã độc được chèn dưới dạng một IIFE (Immediately Invoked Function Expression) ở cuối tệp node-ipc.cjs, cho phép nó tự động kích hoạt ngay khi thư viện được gọi qua hàm require(). Theo phân tích từ Socket và StepSecurity, payload này thực hiện các hành vi sau:

Nhận diện mục tiêu: Phiên bản 12.0.1 sử dụng cơ chế băm SHA-256 để kiểm tra môi trường host, chỉ thực thi trên các mục tiêu đã được định nghĩa trước.
Thu thập bí mật: Đánh cắp hơn 90 loại thông tin bao gồm AWS, Google Cloud, Microsoft Azure, SSH keys, Kubernetes tokens, và mật khẩu cơ sở dữ liệu.
Kênh truyền tin kép: Dữ liệu bị đánh cắp được nén GZIP và gửi đi qua HTTPS POST hoặc mã hóa dưới dạng bản ghi DNS TXT để vượt qua các hệ thống giám sát DNS thông thường.

Hành động ứng cứu khẩn cấp

Nếu bạn đang sử dụng Node-IPC trong dự án của mình, TMGS khuyến nghị thực hiện ngay các bước sau:

Gỡ bỏ cài đặt: Xóa ngay lập tức các phiên bản bị nhiễm và hạ cấp về bản an toàn (9.2.1 hoặc 12.0.0).
Thay đổi Credentials: Coi như toàn bộ secrets đã bị lộ và thực hiện xoay vòng (rotate) tất cả API keys, mật khẩu và token truy cập.
Giám sát hệ thống: Kiểm tra nhật ký Cloud IAM để phát hiện các truy cập bất hợp pháp từ những thông tin định danh bị rò rỉ.
Chặn kết nối: Ngắt toàn bộ lưu lượng ra (egress) tới tên miền máy chủ C2: sh.azurestaticprovider[.]net.

Nguồn tham khảo: The Hacker News

Liên hệ đội ngũ ứng cứu sự cố TMGS

Cảnh báo khẩn cấp: Backdoor trong Node-IPC đánh cắp bí mật của nhà phát triển