MALFEX, npm ekosistemindeki zararlı paketler aracılığıyla Windows sistemlerini hedef alan bir kötü amaçlı yazılım kampanyasıdır. Saldırganlar, imgdecode gibi paketler üzerinden Windows Native Addon kullanarak zararlı kod yüklemeyi ve çalıştırmayı amaçlamaktadır.

Ne Oldu?

Güvenlik araştırmacıları, imgdecode adlı npm paketinin derlenmiş bir Windows bileşeni aracılığıyla şifrelenmiş shellcode indirdiğini, şifresini çözdüğünü ve dllhost.exe sürecine enjekte ettiğini ortaya çıkardı. Bu yöntem, zararlı yükün geleneksel JavaScript kod incelemeleriyle tespit edilmesini zorlaştırabilir.

Saldırı Nasıl Çalışıyor ve Sisteme Nereden Giriyor?

MALFEX saldırısının temelinde, geliştiricilerin projelerinde kullandığı npm paketlerine duyulan güveni kötüye kullanan bir yazılım tedarik zinciri saldırısı bulunuyor. Saldırganlar, zararlı kodu doğrudan bir güvenlik açığından yararlanarak sisteme sokmak yerine, geliştiricilerin projelerine dahil edebileceği meşru bir yazılım bileşeni görünümündeki paketi kullanıyor. Son olarak gündeme gelen imgdecode paketi ise zararlı yükleme mekanizmasını JavaScript kodundan derlenmiş bir Windows Native Addon bileşenine taşımasıyla dikkat çekiyor.

Saldırı zinciri adım adım nasıl ilerliyor?

1. Zararlı npm paketi projeye giriyor

Geliştirici, imgdecode paketini projesine eklediğinde zararlı bileşen de bağımlılıklar arasına dahil oluyor. Böylece saldırı, geliştiricinin güvenilir olduğunu düşündüğü yazılım ekosistemi üzerinden sisteme ulaşabiliyor.

2. JavaScript kodu yerel bileşeni yüklüyor

Paketin JavaScript giriş noktası, Windows için derlenmiş imgdecode.node bileşenini çağırıyor. Buradaki kritik ayrıntı, zararlı kodun klasik bir postinstall betiğine bağlı olmaması. Yükleyici, paket uygulama tarafından require('imgdecode') ile yüklendiğinde çalışabiliyor.

3. Şifrelenmiş zararlı yük indiriliyor

Native Addon, belirli Windows konsol koşullarını kontrol ettikten sonra GitHub üzerindeki bir adresten şifrelenmiş veri almaya çalışıyor. Ardından bu verinin şifresini çözerek bellekte çalıştırılabilecek bir yük elde etmeyi hedefliyor. Etkileşimli konsol kontrolü, bazı otomatik analiz ortamlarında davranışın tetiklenmesini engelleyebiliyor.

4. Shellcode başka bir sürece enjekte ediliyor

Araştırmacıların analizine göre yükleyici, shellcode’u Windows’un dllhost.exe sürecine enjekte etmeye çalışıyor. Bu teknik, zararlı kodun başka bir süreç içinde çalıştırılmasını sağlayarak incelemeyi ve olayın kaynağını belirlemeyi zorlaştırabilir.

5. Sonraki aşamada veri hırsızlığı ve uzaktan erişim riski

MALFEX kampanyasıyla ilişkili yükler; tarayıcı verileri, oturum bilgileri, geliştirici kimlik bilgileri ve kripto para cüzdanları gibi hassas verileri hedefleyen bilgi hırsızı ve uzaktan erişim aracı (RAT) bileşenleriyle ilişkilendirildi. Bununla birlikte, imgdecode üzerinden indirilen son yükün önceki saldırı zincirindeki tüm işlevleri taşıdığı SafeDep tarafından kesin olarak doğrulanmış değil.

Bu Saldırıyı Tespit Etmeyi Zorlaştıran Ne?

MALFEX’in dikkat çeken yönü, zararlı davranışın okunabilir JavaScript kodunun arkasına gizlenmesi ve önceden derlenmiş bir Windows bileşenine taşınmasıdır. Ayrıca yükleyicinin yalnızca belirli konsol koşullarında çalışması, bazı otomatik tarama sistemlerinin saldırı davranışını gözden kaçırmasına neden olabilir. Bu nedenle yalnızca postinstall betiklerini kontrol etmek yeterli değildir; paketlerin içerdiği yerel ikili dosyalar ve çalışma anındaki süreç davranışları da incelenmelidir.

IOC: Saldırı Göstergeleri

MALFEX kampanyasının tespitinde zararlı npm paketleri, ağ bağlantıları ve Windows üzerindeki dosya izleri birlikte değerlendirilmelidir. Öne çıkan IOC’ler aşağıda listelenmiştir.

Saldırı Nasıl Tespit Edilir?

SOC ekipleri ve sistem yöneticileri aşağıdaki davranışları inceleyerek olası bir MALFEX bulaşmasını araştırabilir:

• Süreç analizi: node.exe sürecinin beklenmedik şekilde dllhost.exe başlatması veya şüpheli alt süreçler oluşturması.
• Ağ trafiği: raw.githubusercontent[.]com/cavecrew/proj adresine ya da 104.234.65[.]75 IP adresine yapılan beklenmedik bağlantılar.
• Dosya ve kalıcılık kontrolü: %TEMP%\svc_update.exe dosyasının, şüpheli başlangıç kayıtlarının ve MicrosoftEdgeUpdateService adlı zamanlanmış görevin kontrol edilmesi.
• Uç nokta kayıtları: EDR, Sysmon ve Windows olay günlüklerinde süreç oluşturma, dış bağlantı ve kalıcılık davranışlarının ilişkilendirilerek incelenmesi.

Kaynaklar

• SafeDep – MALFEX imgdecode npm Native Addon analizi
• The Hacker News – MALFEX npm paketi haberi
• Cloud Security Alliance – MALFEX araştırma notu