Hackers verstecken Linux-Payload unter SSH-artigem Dateinamen bei Paketinstallation

Das Skript unterdrückt Fehlermeldungen, die während

Das Skript unterdrückt Fehlermeldungen, die während der Installation auftreten könnten, und führt das heruntergeladene Binärprogramm stumm im Hintergrund aus.

Entwickler, die sich Standard-Installationsprotokolle ansehen, würden nichts Ungewöhnliches bemerken, und die Datei, die sich unter einem Namen befindet, der einem SSH-Prozess ähnelt, würde sich nahtlos in das System einfügen und kaum auffallen.

Payload, der hinter einem SSH-ähnlichen Dateinamen versteckt ist Der Kern dieses Angriffs basiert auf einer einfachen, aber effektiven Tarnung. Das bösartige Skript lädt ein Binärprogramm namens fvbs.network von der GitHub-Releases-Seite des Angreifers herunter und schreibt es auf dem infizierten System unter /tmp/.sshd ab.

Der Punkt-Präfix im Dateinamen lässt die

Der Punkt-Präfix im Dateinamen lässt die Datei in den meisten Standard-Verzeichnisauflistungen unsichtbar, während die Benennung.sshd den Anschein erweckt, es handle sich um einen vertrauenswürdigen Systemdienst.

Sobald das Binärprogramm geschrieben wurde, wird es mit chmod +x ausführbar gemacht und im Hintergrund gestartet, wodurch jede sichtbare Verbindung zum Installationsprozess unterbrochen wird. Das Skript verwendet curl mit deaktivierter TLS-Verifizierung, sodass nicht geprüft wird, ob die entfernte Quelle legitim ist.

Bis die Installationsanweisung abgeschlossen ist, läuft der Schadcode bereits stillschweigend auf dem Entwickler-Rechner. Die Untersuchung von Socket bestätigte zudem, dass bösartige Commits direkt in upstream-GitHub-Repositories hochgeladen wurden.

Technik und Auswirkungen

Versionen mit Branch-Tracking wie dev-main, dev-master und dev wurden verwendet; jedes Packagist-Paket, das auf diese Branches verweist, zieht beim nächsten Update automatisch den infizierten Code herunter. Das bloße Entfernen der betroffenen Paketversion reichte nicht aus, da das upstream-Repository selbst zunächst bereinigt werden musste.

Verbreitung bösartiger Hooks über Packagist und Node.js: Alle bestätigten Packagist-Pakete enthielten identische postinstall-Hooks, die auf dasselbe von Angreifern kontrollierte GitHub-Konto verweisen.

In mehreren Node.js-Repositories wurde derselbe Befehl zur Auslieferung von Schadcode in GitHub Actions Workflow-Dateien entdeckt, wodurch er während der Ausführung der CI/CD-Pipeline statt nur bei lokalen Entwickler-Installationen ausgeführt wird.

Sicherheitslage und Risiko

Dieser zweikanalige Angriffsansatz ermöglicht es, sowohl einzelne Entwickler als auch automatisierte Build-Umgebungen zu erreichen.

In mindestens einem Fall war der Schadcode-Befehl in einer Workflow-Datei unter Verwendung einer Abhängigkeit namens `dependency_cache_sync` eingebettet, was die Angriffsfläche über das hinaus erweitert, was eine einfache Paketüberprüfung erkennen würde. Socket meldete alle betroffenen Pakete an Packagist, die diese umgehend entfernten.

Da jedoch viele betroffene Pakete eine Branch-Tracking-Struktur aufweisen, sollten Entwickler auch überprüfen, ob die upstream-Repositories bereinigt wurden. Teams, die Pakete von Packagist mit PHP-Skripting oder Laravel-basierten Werkzeugen nutzen, sollten die `composer.json`-Dateien auf unerwartete Einträge im Abschnitt `post-install` untersuchen.

Socket empfiehlt, nach Binärdateien zu suchen,

Socket empfiehlt, nach Binärdateien zu suchen, die unter einem mit einem Punkt beginnenden Namen in /tmp geschrieben wurden, GitHub Actions Workflow-Dateien auf unbekannte Schritte zu überprüfen und Pakete zu prüfen, die Entwicklungszweige statt fester Release-Tags verfolgen.

Indikatoren für Kompromittierungen (IoCs): GitHub-Konto: Indikator: parikhrpreksha; Beschreibung: Vom Angreifer kontrolliertes GitHub-Konto, das als Infrastruktur zur Auslieferung der Payload dient.

URL: Indikator: https://github.com/parikhrpreksha/system_network_helper_aacf/releases/latest/download/fvbs.network; Beschreibung: Direkte Download-URL für die bösartige Linux-Binärdatei. Dateiname: Indikator: fvbs.network; Beschreibung: Bösartige Linux-Binärdatei, die während der Paketinstallation heruntergeladen wurde.

Dateipfad: Indikator: /tmp/.sshd; Beschreibung: Ort,

Dateipfad: Indikator: /tmp/.sshd; Beschreibung: Ort, an dem die bösartige Binärdatei auf dem Opferrechner geschrieben wird, getarnt als SSH-Daemon-Datei. Befehlsfragment: Indikator: curl -sk; Beschreibung: Wird verwendet, um die Payload stumm herunterzuladen, wobei die TLS-Verifizierung deaktiviert ist.

Befehlsfragment: Indikator: chmod +x; Beschreibung: Wird verwendet, um das heruntergeladene Binärprogramm ausführbar zu machen, bevor es im Hintergrund ausgeführt wird. Befehlsfragment: Indikator: /tmp/.sshd &; Beschreibung: Ausführungs muster, das verwendet wird, um die Last im Hintergrund stumm zu starten.

Abhängigkeitsname: Indikator: dependency_cache_sync; Beschreibung: Böswilliger Abhängigkeitsname, der in GitHub Actions Workflow-Dateien eingebettet ist. Hinweis: IP-Adressen und Domains sind absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Verlinkung zu verhindern.

Sicherheitslage und Risiko

Defang sie nur innerhalb kontrollierter Bedrohungsinformationsplattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein leitender Cybersecurity- und Datenschutzverletzungsreporter. Er spezialisiert sich auf die Berichterstattung über Cybersecurity-Nachrichten, Trends und neue Bedrohungen, Datenlecks sowie Malware-Angriffe.

Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Russischer Hacker nutzte ein jailgebrochenes Gemini, um Admin-Zugangsdaten zu stehlen und Krypto-Wallets auszuleeren. Das LMS von KnowledgeDeliver wurde durch einen Zero-Day-Exploit kompromittiert, um den BLUEBEAM-Webshell einzusetzen.

WhatsApp-Chatverläufe werden auf macOS und iOS unverschlüsselt gespeichert.