Os mantenedores do popular cliente HTTP **Axios** publicaram um post-mortem detalhado descrevendo como um de seus desenvolvedores foi alvo de uma campanha de engenharia social ligada a hackers norte-coreanos. Isso ocorre após os atores de ameaça comprometerem uma conta de mantenedor para publicar duas versões maliciosas do **Axios** (1.14.1 e 0.30.4) no registro de pacotes npm, desencadeando um ataque à cadeia de suprimentos. Essas versões injetaram uma dependência chamada `plain-crypto-js` que instalou um cavalo de troia de acesso remoto (RAT) em sistemas macOS, Windows e Linux. As versões maliciosas ficaram disponíveis por aproximadamente três horas antes de serem removidas, mas sistemas que as instalaram durante esse período devem ser considerados comprometidos, e todas as credenciais e chaves de autenticação devem ser rotacionadas. Os mantenedores do **Axios** afirmaram que limparam os sistemas afetados, resetaram todas as credenciais e estão implementando mudanças para prevenir incidentes semelhantes. O **Google** Threat Intelligence Group desde então ligou este ataque a atores de ameaça norte-coreanos rastreados como **UNC1069**. "O GTIG atribui esta atividade ao UNC1069, um ator de ameaça do nexo norte-coreano com motivação financeira, ativo desde pelo menos 2018, com base no uso do WAVESHAPER.V2, uma versão atualizada do WAVESHAPER anteriormente utilizada por este ator de ameaça", explica o **Google**. "Além disso, a análise de artefatos de infraestrutura usados neste ataque mostra sobreposições com a infraestrutura utilizada pelo UNC1069 em atividades passadas." ## Alvo em um Ataque de Engenharia Social De acordo com um post-mortem, o comprometimento começou semanas antes através de um ataque de engenharia social direcionado ao mantenedor principal do projeto, Jason Saayman. Os atacantes se passaram por uma empresa legítima, clonaram sua marca e a semelhança de seus fundadores, e convidaram o mantenedor para um espaço de trabalho **Slack** projetado para se passar pela empresa. Saayman diz que o servidor **Slack** continha canais realistas, com atividade encenada e perfis falsos que se passavam por funcionários e outros mantenedores de código aberto. "Eles então me convidaram para um espaço de trabalho real do Slack. este espaço de trabalho foi marcado com a identidade visual da empresa e nomeado de forma plausível", explicou Saayman em uma postagem para o post-mortem. "O Slack foi muito bem pensado, eles tinham canais onde compartilhavam posts do LinkedIn, os posts do LinkedIn presumo que iam para a conta real da empresa, mas era super convincente etc. eles até tinham o que presumo serem perfis falsos da equipe da empresa, mas também um número de outros mantenedores de OSS." Os atacantes então agendaram uma reunião no **Microsoft Teams** que parecia incluir várias pessoas. Durante a chamada, um erro técnico foi exibido, alegando que algo no sistema estava desatualizado, levando o mantenedor a instalar uma atualização do **Teams** para corrigir o erro. No entanto, esta atualização falsa era na verdade um malware RAT que deu aos atores de ameaça acesso remoto ao dispositivo do mantenedor, permitindo-lhes obter as credenciais npm para o projeto **Axios**. Outros mantenedores relataram ataques de engenharia social semelhantes, onde os atores de ameaça tentaram fazê-los instalar uma atualização falsa do SDK do **Microsoft Teams**. Este ataque é semelhante a um ataque ClickFix, no qual as vítimas recebem uma mensagem de erro falsa e são solicitadas a seguir etapas de solução de problemas que implantam malware. Este ataque também espelha campanhas anteriores relatadas pelas equipes de inteligência de ameaças do **Google**, nas quais atores de ameaça norte-coreanos rastreados como **UNC1069** usaram as mesmas táticas para atingir empresas de criptomoedas. Em campanhas anteriores atribuídas ao ator de ameaça **UNC1069**, os atores de ameaça implantariam cargas adicionais em dispositivos, como backdoors, downloaders e infostealers projetados para roubar credenciais, dados do navegador, tokens de sessão e outras informações confidenciais. Como os atacantes obtiveram acesso a sessões autenticadas, as proteções de MFA foram efetivamente contornadas, permitindo o acesso às contas sem a necessidade de reautenticação. Os mantenedores do **Axios** confirmaram que o ataque não envolveu a modificação do código-fonte do projeto, mas sim a injeção de uma dependência maliciosa em lançamentos legítimos. Pelle Wessman, um mantenedor de vários projetos de código aberto, incluindo o popular framework **Mocha**, postou no **LinkedIn** que foi alvo da mesma campanha e compartilhou uma captura de tela de uma mensagem de erro de conexão RTC falsa usada para enganar alvos a instalar malware.  Quando Wessman se recusou a instalar o aplicativo, os atores de ameaça tentaram convencê-lo a executar um comando Curl. "Quando ficou claro que eu não executaria o aplicativo e conversamos para frente e para trás no site e no aplicativo de chat, eles fizeram uma última tentativa desesperada e tentaram me fazer executar um comando curl que baixaria e executaria algo, então quando me recusei eles desapareceram e deletaram todas as conversas", explicou Wessman. A empresa de cibersegurança **Socket** também relatou que esta foi uma campanha coordenada que começou a atingir mantenedores de projetos populares de Node.js. Múltiplos desenvolvedores, incluindo mantenedores de pacotes amplamente utilizados e contribuidores principais do Node.js, relataram receber mensagens de contato semelhantes e convites para espaços de trabalho **Slack** operados pelos atacantes. A **Socket** observou que esses mantenedores são responsáveis por pacotes com bilhões de downloads semanais, demonstrando que os atores de ameaça se concentraram em projetos de alto impacto. "Desde que publicamos nossa análise inicial do comprometimento do axios, um mergulho profundo em seu raio de explosão oculto e um relatório sobre o mantenedor confirmando que foi engenharia social, mantenedores em todo o ecossistema Node.js saíram do anonimato para relatar que foram alvo da mesma campanha de engenharia social", explicou a **Socket**. "As contas agora abrangem alguns dos pacotes mais amplamente dependentes no registro npm e no próprio núcleo do Node.js, e juntos eles confirmam que o axios não foi um alvo isolado. Foi parte de um padrão de ataque coordenado e escalável direcionado a mantenedores de código aberto de alta confiança e alto impacto." A **Socket** disse que a campanha seguiu um padrão consistente, com os atores de ameaça primeiro fazendo contato através de plataformas como **LinkedIn** ou **Slack** e depois convidando os destinatários para espaços de trabalho privados ou semi-privados. Após construir rapport com o alvo, os atores de ameaça agendaram videochamadas, que em alguns casos foram realizadas através de sites que se passavam por **Microsoft Teams** e outras plataformas. Durante essas chamadas, uma mensagem de erro seria exibida aos alvos, que os solicitava a instalar um software de desktop "nativo" que funcionasse melhor ou a executar comandos para corrigir os problemas técnicos. O mesmo plano de ação usado contra todos esses alvos durante o mesmo período indica que esta foi uma campanha coordenada em vez de uma série de ataques isolados. Os pesquisadores da **Socket** dizem que esses tipos de ataques à cadeia de suprimentos estão se tornando mais comuns, com os atacantes agora focando em pacotes amplamente utilizados para causar um impacto generalizado.