Paket NPM yang baru ditemukan ‘Fezbox’ menggunakan kode QR untuk mengambil malware mencuri cookie dari server aktor ancaman.
Paket, menyamar sebagai perpustakaan utilitas, memanfaatkan teknik steganografi inovatif ini untuk memanen data sensitif, seperti kredensial pengguna, dari mesin yang dikompromikan.
Kode QR menemukan kasus penggunaan lain
Sementara barcode 2D seperti kode QR secara konvensional telah dirancang untuk manusia, untuk memegang konten pemasaran atau berbagi tautan, penyerang telah menemukan tujuan baru bagi mereka: menyembunyikan kode berbahaya di dalam kode QR itu sendiri.
Minggu ini, Tim peneliti ancaman soket mengidentifikasi paket jahat, ‘fezbox’, Diterbitkan ke npmjs.com, registri sumber terbuka terbesar di dunia untuk Javascript dan Node.js pengembang.
Paket ilegal berisi instruksi tersembunyi untuk mengambil gambar JPG yang berisi kode QR, yang kemudian dapat diproses lebih lanjut untuk menjalankan muatan yang dikaburkan tahap kedua sebagai bagian dari serangan.
Pada saat penulisan, paket tersebut menerima setidaknya 327 unduhan, sesuai npmjs.com, sebelum admin registri menurunkannya.
URL berbahaya disimpan secara terbalik untuk menghindari deteksi
BleepingComputer mengkonfirmasi bahwa muatan jahat terutama berada di dist/fezbox.cjs file paket (mengambil versi 1.3.0 sebagai contoh).
“Kode itu sendiri diminifikasi dalam file. Setelah diformat, menjadi lebih mudah dibaca,” menjelaskan Analis ancaman soket Olivia Brown.
Kondisional dalam kode memeriksa apakah aplikasi berjalan di lingkungan pengembangan, seperti yang dijelaskan oleh Brown.
“Ini biasanya taktik siluman. Aktor ancaman tidak ingin mengambil risiko terperangkap dalam lingkungan virtual atau lingkungan non-produksi, sehingga mereka mungkin sering menambahkan pagar pembatas di sekitar kapan dan bagaimana eksploitasi mereka berjalan,” kata peneliti.
“Kalau tidak, bagaimanapun, setelah 120 detik, itu menguraikan dan menjalankan kode dari kode QR di string terbalik …”
String yang ditunjukkan pada tangkapan layar di atas, saat dibalik, berubah menjadi:
hxxps://res[.]cloudinary[.]com/dhuenbqsq/image/upload/v1755767716/b52c81c176720f07f702218b1bdc7eff_h7f6pn.jpg
Menyimpan URL secara terbalik adalah teknik siluman yang digunakan oleh penyerang untuk memotong alat analisis statis yang mencari URL (dimulai dengan ‘http (s): //’) dalam kode, jelas Brown.
Kode QR yang disajikan oleh URL ditunjukkan di bawah ini:
Tidak seperti Kode QR yang biasanya kami lihat dalam pemasaran Atau pengaturan bisnis, yang satu ini luar biasa padat, mengemas dalam data yang jauh lebih banyak dari biasanya. Bahkan, selama tes BleepingComputer, tidak dapat dibaca dengan andal dengan kamera ponsel standar. Aktor ancaman secara khusus merancang kode batang ini untuk mengirimkan kode yang dikaburkan yang dapat diuraikan oleh paket.
Payload yang dikaburkan, menjelaskan peneliti, akan membaca cookie melalui Document.cookie.
“Lalu itu mendapatkan nama pengguna dan kata sandi, meskipun sekali lagi kita melihat taktik pengayaan membalikkan string (Drowssap menjadi kata sandi).”
“Jika ada nama pengguna dan kata sandi di cookie yang dicuri, itu mengirimkan informasi melalui permintaan HTTPS POST ke https: // my-nest-app-production[.]ke atas[.]kereta api[.]Aplikasi/Pengguna. Kalau tidak, ia tidak melakukan apa pun dan keluar dengan tenang. “
Kami telah melihat banyak kasus kode QR yang dikerahkan Penipuan Teknik Sosial—Dari survei palsu hingga “tiket parkir” palsu. Tetapi ini membutuhkan intervensi manusia, yaitu memindai kode dan dibawa ke situs web phishing, misalnya.
Penemuan minggu ini oleh soket menunjukkan twist lain pada kode QR: mesin yang dikompromikan dapat menggunakannya untuk berbicara dengan server perintah-dan-kontrol (C2) dengan cara yang, ke proxy atau alat keamanan jaringan, mungkin terlihat seperti lalu lintas gambar biasa.
Sementara steganografi tradisional sering menyembunyikan kode berbahaya di dalam gambar, file media, atau metadata, pendekatan ini melangkah lebih jauh, menunjukkan bahwa aktor ancaman akan mengeksploitasi media apa pun yang tersedia.
