Bösartiges NuGet-Paket StripeApi.Net gibt sich als Stripe-Bibliothek aus und stiehlt API-Tokens

Bösartiges NuGet-Paket zielt auf Finanzsektor mit API-Token-Diebstahl ab

Cybersecurity-Forscher haben ein bösartiges Paket in der NuGet Gallery identifiziert, das darauf ausgelegt ist, die offizielle Bibliothek Stripe.net des Finanzdienstleisters Stripe zu imitieren. Das gefälschte Paket mit dem Namen StripeApi.Net wurde von einem Akteur hochgeladen, der sich als legitimer Entwickler ausgibt, und zielt darauf ab, API-Tokens von ahnungslosen Nutzern im Finanzsektor zu stehlen.

Technische Details

Das bösartige Paket StripeApi.Net wurde entdeckt, wie es sich als Stripe.net, die authentische .NET-Bibliothek von Stripe, tarnt. Die offizielle Bibliothek verzeichnet über 75 Millionen Downloads und ermöglicht eine sichere Integration mit den Zahlungsabwicklungs-APIs von Stripe. Die betrügerische Version enthält jedoch versteckte Funktionen, um sensible Anmeldedaten, einschließlich API-Tokens, an einen von Bedrohungsakteuren kontrollierten Remote-Server zu exfiltrieren.

Wichtige Indikatoren für eine Kompromittierung sind:

• Paketname: StripeApi.Net (beachten Sie die subtile Abweichung vom offiziellen Stripe.net)
• Uploader: Ein neu erstelltes NuGet-Konto ohne vorherige Aktivitäten
• Verhalten: Stilles Sammeln von Anmeldedaten durch eingebetteten schädlichen Code

Zum Zeitpunkt der Offenlegung hatte das Paket noch keine signifikante Verbreitung erlangt. Dennoch gibt die gezielte Ausrichtung auf Entwickler im Finanzsektor Anlass zur Sorge, da kompromittierte API-Tokens einen hohen Wert für Angreifer darstellen.

Auswirkungenanalyse

API-Tokens sind kritische Authentifizierungsdaten, die Zugriff auf Finanzsysteme, Zahlungsgateways und sensible Kundendaten gewähren. Bei erfolgreicher Bereitstellung könnte StripeApi.Net Bedrohungsakteuren ermöglichen:

• Zugriff auf Finanztransaktionen und Manipulation der Zahlungsabwicklung
• Exfiltrierung von Kundendaten, einschließlich personenbezogener Daten (PII) und Zahlungsdetails
• Eskalation von Angriffen innerhalb kompromittierter Umgebungen durch Nutzung gestohlener Anmeldedaten

Der Finanzsektor bleibt ein Hauptziel für Supply-Chain-Angriffe, und dieser Vorfall unterstreicht die Risiken durch Dependency Confusion und Typosquatting in Paket-Repositories.

Empfehlungen für Sicherheitsteams

Um die Risiken durch bösartige NuGet-Pakete zu minimieren, sollten folgende Maßnahmen ergriffen werden:

1. Authentizität von Paketen überprüfen: Vor der Installation immer Paketnamen, Herausgeber und Download-Zahlen überprüfen.
2. Paket-Signierung nutzen: Die Verwendung von digital signierten Paketen erzwingen, um die Integrität zu gewährleisten.
3. Abhängigkeiten überwachen: Software Composition Analysis (SCA)-Tools implementieren, um verdächtige oder nicht autorisierte Pakete zu erkennen.
4. NuGet-Quellen einschränken: Entwicklungsumgebungen so konfigurieren, dass nur Pakete aus vertrauenswürdigen Repositories zugelassen werden.
5. Entwickler schulen: Sensibilisierung für Typosquatting-Angriffe und die Bedeutung der Überprüfung von Paketquellen.

Sicherheitsteams wird empfohlen, ihre Umgebungen auf das Vorhandensein von StripeApi.Net zu überprüfen und alle exponierten API-Tokens umgehend zu widerrufen. Die NuGet Gallery hat das bösartige Paket inzwischen entfernt, dennoch bleibt Wachsamkeit entscheidend, um ähnliche Angriffe zu verhindern.

Quelle: The Hacker News