Overslaan naar hoofdinhoud

Nieuwe kwaadaardige campagne jaagt op Discord-tokens en creditcardgegevens via geïnfecteerde open-source npm-pakketten

28 juli 2022

Op 26 juli hebben onderzoekers van Kaspersky met behulp van het interne geautomatiseerde systeem voor het monitoren van open-source repositories een kwaadaardige campagne met de naam LofyLife geïdentificeerd. De campagne gebruikte 4 kwaadaardige pakketten die Volt Stealer en Lofy Stealer malware verspreidden in de open-source npm repository om verschillende gegevens van slachtoffers te verzamelen, waaronder Discord tokens en creditcardgegevens, en om ze na verloop van tijd te bespioneren.

De npm repository is een openbare verzameling van open-source codepakketten die op grote schaal worden gebruikt in front-end webapps, mobiele apps, robots en routers, en ook om te voorzien in talloze behoeften van de JavaScript-gemeenschap. De populariteit ervan maakt de LofyLife-campagne nog gevaarlijker, aangezien deze mogelijk talloze gebruikers van de repository had kunnen treffen.

De geïdentificeerde kwaadaardige repositories leken pakketten te zijn die werden gebruikt voor gewone taken, zoals het opmaken van koppen of bepaalde spelfuncties, maar ze bevatten sterk versluierde kwaadaardige JavaScript- en Python-code. Hierdoor waren ze moeilijker te analyseren wanneer ze naar de repository werden geüpload. De kwaadaardige payload bestond uit in Python geschreven malware met de naam Volt Stealer en een JavaScript-malware met de naam Lofy Stealer, die over talrijke functies beschikt.

Volt Stealer werd gebruikt om Discord tokens van de geïnfecteerde machines te stelen, samen met het IP-adres van het slachtoffer, en deze te uploaden via HTTP. De Lofy Stealer, een nieuwe ontwikkeling van de aanvallers, kan Discord-clientbestanden infecteren en de acties van het slachtoffer in de gaten houden - detecteren wanneer een gebruiker inlogt, e-mail- of wachtwoordgegevens wijzigt, multifactorauthenticatie in- of uitschakelt en nieuwe betaalmethoden toevoegt, inclusief volledige creditcardgegevens. Verzamelde informatie wordt ook geüpload naar de endpoint op afstand.

"Developers vertrouwen in hoge mate op open-source code repositories - zij gebruiken deze om de ontwikkeling van IT-oplossingen sneller en efficiënter te maken, en dragen in belangrijke mate bij aan de ontwikkeling van de IT-industrie als geheel. Zoals de LofyLife-campagne echter laat zien, kunnen zelfs gerenommeerde repositories niet standaard worden vertrouwd - alle code, inclusief open-source code, die een ontwikkelaar in zijn producten injecteert, wordt zijn eigen verantwoordelijkheid. We hebben detecties van deze malware aan onze producten toegevoegd, zodat gebruikers die onze oplossingen draaien, kunnen vaststellen of ze zijn geïnfecteerd en de malware kunnen verwijderen", aldus Leonid Bezvershenko, security-onderzoeker bij Kaspersky's Global Research and Analysis Team.

Kaspersky-producten detecteren LofyLife-malware als Trojan.Python.Lofy.a, Trojan.Script.Lofy.gen.

Kijk voor meer details over de campagne op Securelist

Nieuwe kwaadaardige campagne jaagt op Discord-tokens en creditcardgegevens via geïnfecteerde open-source npm-pakketten

Op 26 juli hebben onderzoekers van Kaspersky met behulp van het interne geautomatiseerde systeem voor het monitoren van open-source repositories een kwaadaardige campagne met de naam LofyLife geïdentificeerd. De campagne gebruikte 4 kwaadaardige pakketten die Volt Stealer en Lofy Stealer malware verspreidden in de open-source npm repository om verschillende gegevens van slachtoffers te verzamelen, waaronder Discord tokens en creditcardgegevens, en om ze na verloop van tijd te bespioneren.
Kaspersky logo

Over Kaspersky

Kaspersky is een internationaal bedrijf dat is opgericht in 1997 en dat is gespecialiseerd in cyberbeveiliging en digitale privacy. Dankzij de uitgebreide bedreigingsintelligentie en beveiligingsexpertise van Kaspersky zijn tot nu toe meer dan een miljard apparaten beschermd tegen opkomende cyberbedreigingen en gerichte aanvallen. Kaspersky transformeert voortdurend haar innovatieve oplossingen en diensten om bedrijven, kritieke infrastructuren, overheden en consumenten wereldwijd te beschermen. Onder het allesomvattende beveiligingsportfolio van Kaspersky vallen toonaangevende endpointbescherming, gespecialiseerde beveiligingsproducten en diensten, evenals Cyber Immune-oplossingen waarmee geavanceerde en evoluerende digitale bedreigingen kunnen worden bestreden. We helpen meer dan 200.000 zakelijke klanten te beschermen wat het belangrijkste voor ze is. Meer informatie vind je op www.kaspersky.nl.

Verwant artikel Information