Redazione RHC:15 outubro 2025 07:19
Os invasores estão abusando da infraestrutura legítima do npm em um novo campanha de phishing no Beamglea. Desta vez, os pacotes maliciosos não executam código malicioso, mas em vez disso, explorar o serviço CDN legítimo unpkg[.]com para mostrar aos usuários páginas de phishing.
No final de setembro, pesquisadores de segurança da Safety identificaram Pacotes de 120 npm usado em tais ataques, mas agora seu número tem excedeu 175 , relata a empresa de segurança Socket.
Esses pacotes são projetados para atacar mais de 135 organizações nos setores de energia, industrial e tecnologia. As metas incluem Algodue, ArcelorMittal, Demag Cranes, D-Link, H2 Systems, Moxa, Piusi, Renishaw, Sasol, Stratasys e ThyssenKrupp Nucera. Os ataques são focados principalmente nos países da Europa Ocidental, mas alguns alvos também estão localizados no norte da Europa e na região da Ásia-Pacífico.
No total, os pacotes foram baixados ao longo de 26.000 vezes, embora se acredite que alguns dos downloads tenham vindo de pesquisadores de segurança cibernética, scanners automatizados e ferramentas de análise.
Os nomes dos pacotes contêm cadeias de caracteres aleatórias de seis caracteres e seguem o padrão “redirecionar-[a-z0-9]{6}”. Uma vez publicados no npm, os pacotes estão disponíveis por meio do unpkg[.]com links HTTPS CDN.
“Os invasores podem distribuir arquivos HTML disfarçados de pedidos de compra e documentos de projeto para usuários-alvo. Embora o método exato de distribuição não seja claro, os temas dos documentos comerciais e a personalização para vítimas específicas sugerem a distribuição por meio de anexos de e-mail ou links de phishing”, Notas de soquete.
Depois que a vítima abre o arquivo HTML malicioso, o código JavaScript malicioso do pacote npm é carregado no navegador por meio do unpkg[.]com CDN, e a vítima é redirecionada para uma página de phishing onde é solicitada a inserir suas credenciais.
Os atacantes também foram observados usando um Kit de ferramentas Python para automatizar a campanha: O processo verifica se a vítima está logada, solicita suas credenciais, insere um e-mail de phishing e um link em um Modelo JavaScript (beamglea_template.js), gera um package.json arquivo, hospeda-o como um pacote público e cria um arquivo HTML com um link para o pacote npm por meio do unpkg[.]com CDN.
“Essa automação permitiu que os invasores criassem 175 pacotes exclusivos direcionados a diferentes organizações sem ter que direcionar manualmente cada vítima”, Soquete anotado.
Segundo os pesquisadores, os invasores geraram mais de 630 arquivos HTML que levam a pacotes maliciosos, todos contendo o ID da campanha nb830r6x na metatag. Os arquivos imitam ordens de compra, especificações técnicas e documentação de design.
“Quando as vítimas abrem arquivos HTML em seu navegador, o JavaScript as redireciona imediatamente para o domínio de phishing, passando o endereço de e-mail da vítima por meio de um fragmento de URL. A página de phishing preenche automaticamente o campo de endereço de e-mail, criando a impressão convincente de que a vítima está acessando um portal legítimo que já a reconheceu. dizem os especialistas.
De acordo com pesquisadores da Snyk , outros pacotes npm usando o esquema de nomenclatura “mad-*” exibem comportamento semelhante, embora ainda não tenham sido diretamente vinculados à campanha Beamglea.
“O pacote contém uma página falsa de ‘verificação de segurança da Cloudflare’ que redireciona secretamente os usuários para um URL controlado pelo invasor extraído de um arquivo remoto hospedado no GitHub”, Snyk disse.
Redação
A equipe editorial da Red Hot Cyber é composta por um grupo de indivíduos e fontes anônimas que colaboram ativamente para fornecer informações e notícias antecipadas sobre segurança cibernética e computação em geral.