Вредоносный пакет NuGet StripeApi.Net маскируется под библиотеку Stripe и крадёт API-токены

Вредоносный пакет NuGet атакует финансовый сектор с целью кражи API-токенов

Специалисты по кибербезопасности выявили вредоносный пакет в NuGet Gallery, который маскируется под Stripe.net — популярную официальную библиотеку от финансового сервиса Stripe. Поддельный пакет, названный StripeApi.Net, был загружен злоумышленником, выдающим себя за легитимного разработчика, и нацелен на кражу API-токенов у ничего не подозревающих пользователей в финансовом секторе.

Технические детали

Вредоносный пакет StripeApi.Net был обнаружен под видом Stripe.net — подлинной .NET-библиотеки Stripe, которая насчитывает более 75 миллионов загрузок. В то время как легитимная библиотека обеспечивает безопасную интеграцию с API обработки платежей Stripe, фальшивая версия содержит скрытый функционал для эксфильтрации конфиденциальных данных, включая API-токены, на удалённый сервер, контролируемый злоумышленниками.

Основные индикаторы компрометации:

• Название пакета: StripeApi.Net (обратите внимание на незначительное отличие от официального Stripe.net)
• Загрузчик: Новая учётная запись NuGet без предшествующей активности
• Поведение: Скрытый сбор учётных данных с помощью встроенного вредоносного кода

На момент раскрытия информации пакет ещё не получил широкого распространения, однако его нацеленность на разработчиков финансового сектора вызывает обеспокоенность из-за высокой ценности скомпрометированных API-токенов.

Анализ последствий

API-токены являются критически важными учётными данными для аутентификации, предоставляющими доступ к финансовым системам, платёжным шлюзам и конфиденциальным данным клиентов. В случае успешного развёртывания StripeApi.Net злоумышленники могут:

• Получать доступ к финансовым транзакциям и манипулировать обработкой платежей
• Эксфильтровать данные клиентов, включая персонально идентифицируемую информацию (PII) и платёжные реквизиты
• Расширять атаки в скомпрометированных средах, используя украденные учётные данные

Финансовый сектор остаётся основной мишенью для атак на цепочки поставок, и данный инцидент подчёркивает риски, связанные с подменой зависимостей и тайпсквоттингом в репозиториях пакетов.

Рекомендации для служб безопасности

Для снижения рисков, связанных с вредоносными пакетами NuGet, рекомендуется:

1. Проверять подлинность пакетов: Всегда сверяйте названия пакетов, издателей и количество загрузок перед установкой.
2. Использовать подписанные пакеты: Применяйте цифровые подписи пакетов для обеспечения их целостности.
3. Мониторить зависимости: Внедряйте инструменты анализа состава ПО (SCA) для обнаружения подозрительных или неавторизованных пакетов.
4. Ограничивать источники NuGet: Настройте среды разработки на разрешение установки пакетов только из доверенных репозиториев.
5. Обучать разработчиков: Повышайте осведомлённость о атаках тайпсквоттинга и важности проверки источников пакетов.

Службам безопасности рекомендуется провести сканирование своих сред на наличие пакета StripeApi.Net и немедленно отозвать все скомпрометированные API-токены. NuGet Gallery уже удалил вредоносный пакет, однако бдительность остаётся критически важной для предотвращения подобных атак.

Источник: The Hacker News