R­o­g­u­e­ ­n­p­m­ ­P­a­k­e­t­i­ ­Y­e­n­i­ ­T­e­d­a­r­i­k­ ­Z­i­n­c­i­r­i­ ­S­a­l­d­ı­r­ı­s­ı­n­d­a­ ­A­ç­ı­k­ ­K­a­y­n­a­k­ ­R­o­o­t­k­i­t­ ­K­u­l­l­a­n­ı­y­o­r­

Yazılım tedarik zinciri güvenlik firmasına göre kötü amaçlı kod, paketin index.js dosyasında yer alıyor ve yürütüldüğünde otomatik olarak çalıştırılan bir yürütülebilir dosyayı getiriyor.

Söz konusu yürütülebilir dosya, C# tabanlı açık kaynaklı bir truva atıdır. DiscordRAT 2.0Güvenlik yazılımını devre dışı bırakırken, hassas verilerin toplanmasını kolaylaştıran 40’tan fazla komutu kullanarak kurban bir ana makineyi Discord üzerinden uzaktan kontrol etme özellikleriyle birlikte gelir.

Talimatlardan biri, uygulamayı başlatmak için kullanılan “!rootkit”tir. r77 rootkit’i güvenliği ihlal edilmiş sistem hakkında. r77, aktif olarak bakımı yapılıyor bayt kodu77dosyaları ve işlemleri gizlemek için tasarlanmış ve diğer yazılımlarla birlikte paketlenebilen veya doğrudan başlatılabilen bir “dosyasız ring 3 rootkit’tir”.

Bu, r77’nin vahşi doğada kötü niyetli kampanyalarda kullanıldığı ilk sefer değil; tehdit aktörleri onu SeroXen truva atını ve kripto para birimi madencilerini dağıtan saldırı zincirlerinin bir parçası olarak kullanıyor.

Dahası, node-hide-console-windows’un iki farklı versiyonunun, adlı açık kaynaklı bir bilgi hırsızını getirdiği bulundu. Boş Yakalayıcı DiscordRAT 2.0’ın yanı sıra bunu “görsel kod güncellemesi” olarak maskeliyor.