En ny och sofistikerad attack mot mjukvarans leveranskedja har avslöjats av säkerhetsforskningsgruppen Checkmarx Zero. Angreppet riktar sig mot både Python- och JavaScript-utvecklare genom paket som distribuerats via PyPI och NPM. Genom att utnyttja felstavningar och namnförvirring har angriparna lyckats sprida skadlig kod med förmåga att ta kontroll över både Windows- och Linuxsystem – inklusive möjligheten till fjärråtkomst, datastöld och långvarig närvaro i komprometterade miljöer.
Så fungerar attacken: namnförvirring och typosquatting
Forskarna, ledda av Ariel Harush, identifierade en attack där falska paket laddades upp till PyPI med namn som starkt påminde om det populära Python-paketet colorama samt NPM-paketet colorizr. Metoden kallas typosquatting – att lura användare att installera fel paket genom små stavfel eller namnförväxling.
Det ovanliga i denna kampanj är att angriparna använde ett paketnamn från ett ekosystem (NPM) för att rikta sig mot användare i ett annat (PyPI), vilket tyder på en avancerad och målmedveten taktik.
Windows: skadeprogram med uthållighet och förmåga att undgå upptäckt
På Windows-sidan innehöll de skadliga paketen körbara filer och skript som hämtades och aktiverades vid installation. Vissa av dessa kopplades till GitHub-kontot github.com/s7bhme.
De skadliga funktionerna omfattade bland annat:
- Insamling av miljövariabler från Windows-registret (kan innehålla känslig information).
- Användning av Windows Task Scheduler för att skapa flera schemalagda uppgifter med olika skadeprogram.
- Detektion av säkerhetsprogram och dynamisk anpassning av beteende för att undvika upptäckt.
- Utskick av stulen data till externa servrar.
Linux: avancerade bakdörrar med krypterad kommunikation
För Linux analyserade forskarna bland annat paketen Colorizator och coloraiz. Dessa innehöll Base64-kodad skadlig kod som gömts i init-filer. När denna kod kördes skedde följande:
- En RSA-nyckel skrevs till
/tmp/pub.pem. - Ett skript laddades ned från
gsocket.io/y, som installerade verktyget gs-netcat för krypterade bakdörrar. - Utdata från gs-netcat krypterades, base64-kodades och skickades till Pastebin via API.
- Tillfälliga filer raderades för att dölja spår.
Det nedladdade skriptet kunde:
- Upprätthålla närvaro via systemd, crontab, shell-profiler och
rc.local. - Kamouflera sig som systemprocesser (exempelvis
kworker,kswapd0). - Kommunicera med angripare via Discord, Telegram och egna webhookar.
- Stjäla information och upprätta långvarig fjärrstyrning.
Tecken på intrång (Indicators of Compromise, IoC)
| Typ | Värde | Beskrivning |
|---|---|---|
| GitHub-konto | github.com/s7bhme | Ursprung till vissa skadeprogram och mallar |
| Webhook-URL | webhook.site/dc3c1af9-ea3d-4401-9158-eb6dda735276 | Används för att skicka stulen data |
| Paketägare | rick_grimes, morty_smith, reven, m5tl, dsss | Alias som använts för att ladda upp skadliga paket |
| Filhash (Linux) | d30c78c64985a42c34ef142fd8754a776c8db81228bafc385c5bd429252e4612 | Bash-skript från Linux-paket |
| Filhash (Windows) | daef5255eac4a4d16940e424c97492c6bad8fdafd2420632c371b9d18df3b47f | Körbart Windows-program (x69gg.exe) |
Attribution och misstanke om flera angripare
Initialt antog forskarna att samma aktör låg bakom både Windows- och Linux-varianterna, men analysen visade på skillnader i teknik, infrastruktur och metoder. Det är därför möjligt att flera oberoende grupper har använt liknande angreppssätt.
Rekommenderade skyddsåtgärder
Även om de skadliga paketen har tagits bort från publika källor, är hotbilden inte över. Checkmarx rekommenderar att organisationer:
- Granskar alla kodbaser och beroenden för misstänkta paketnamn.
- Söker igenom privata paketregister (t.ex. Artifactory, Nexus) och blockerar skadliga paket.
- Säkerställer att dessa paket inte finns i utvecklings- eller testmiljöer.
- Automatiserar upptäckt och blockering via Threat Intelligence-lösningar där det är möjligt.
Slutsats
Denna kampanj visar tydligt hur sårbar mjukvarans leveranskedja kan vara, särskilt i miljöer där öppen källkod och automatiserade installationer är vanliga. Genom att utnyttja enkla men effektiva metoder som typosquatting och ekosystemförvirring, lyckas angripare plantera kraftfull och svårupptäckt skadlig kod.
Det är avgörande att utvecklare, DevOps-teams och säkerhetsansvariga stärker sina rutiner för kontroll av beroenden och aktivt övervakar ekosystemen för denna typ av hot.
PyPI Supply Chain Attack Uncovered: Colorama and Colorizr Name Confusion
