حملات زنجیره تأمین جدید در PyPI و NPM کاربران ویندوز و لینوکس را هدف قرار می‌دهد

محقق امنیتی Ariel Harush از تیم Checkmarx Zero کمپین پیچیده‌ای از بسته‌های مخرب را کشف کرده که کاربران پایتون و جاوااسکریپت را در سیستم‌عامل‌های ویندوز و لینوکس هدف قرار داده است. این حملات با استفاده از تکنیک‌های تایپواسکواتینگ (اشتباه تایپی) و سردرگمی در نام بسته‌ها، توسعه‌دهندگان را فریب می‌دهند تا به‌طور تصادفی بسته‌های آلوده را نصب کنند.

---

حملات تایپواسکواتینگ چندسکویی

هدف اصلی این حمله بسته‌های معروفی همچون:

• colorama در PyPI (برای خروجی رنگی در ترمینال پایتون)

• colorizr در NPM (نسخه جاوااسکریپتی مشابه)

هکرها بسته‌های جعلی را با نام‌هایی شبیه به این دو در PyPI منتشر کرده‌اند تا از خطاهای تایپی توسعه‌دهندگان سوءاستفاده کنند.

ویژگی منحصربه‌فرد این کمپین، استفاده از نام‌گذاری‌های مخصوص NPM برای حمله به کاربران PyPI است، که نشان‌دهنده یا تاکتیک‌های سردرگمی هدفمند است یا زمینه‌سازی برای حملات آینده به NPM.

---

قابلیت‌های پیچیده در ویندوز و لینوکس

در ویندوز:

• استخراج متغیرهای محیطی از رجیستری برای سرقت اطلاعات حساس

• حفظ پایداری با ایجاد وظایف زمان‌بندی‌شده (Task Scheduler)

• اجرای دستورات ضدشناسایی مانند:

  • حذف تعاریف آنتی‌ویروس ویندوز:
    MpCmdRun.exe -RemoveDefinitions -All

  • غیرفعال‌سازی اسکن آنتی‌ویروس در PowerShell برای فایل‌های دانلود شده

• رفتار تطبیقی در برابر وجود نرم‌افزارهای امنیتی

در لینوکس:

• بسته‌های آلوده مانند Colorizator و coloraiz حاوی payload رمزنگاری‌شده در فایل init.py

• اجرای زنجیره آلوده‌سازی شامل:

  • ایجاد کلید RSA در /tmp/pub.pem

  • دانلود اسکریپت از gsocket.io/y و نصب gs-netcat

  • ارسال داده‌ها به Pastebin با استفاده از کلیدهای معتبر توسعه‌دهنده

  • ماندگاری از طریق systemd، ویرایش پروفایل shell، crontab و اعلان‌های Webhook به Discord، Telegram و URLهای سفارشی

---

عدم قطعیت در نسبت‌دادن حملات

ابتدا تصور می‌شد که این حملات از سوی یک تهدیدکننده واحد صورت گرفته‌اند، اما تفاوت در ابزارها، زیرساخت و زمان‌بندی انتشار نشان می‌دهد که احتمالاً کمپین‌های جداگانه با تاکتیک‌های مشابه از این حملات بهره‌برداری کرده‌اند.

---

اقدامات توصیه‌شده

• بررسی دقیق کدهای پروژه برای بسته‌های مشکوک

• حذف فوری بسته‌های آلوده از مخازن خصوصی

• پیاده‌سازی محدودیت نصب بسته‌ها از منابع تاییدنشده در محیط‌های توسعه

• نظارت بر دسترسی به متغیرهای محیطی و فعالیت‌های مخرب در Task Scheduler و crontab

---

نشانگرهای نفوذ (IOC)