#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злонамеренный пакет npm, выдающий себя за Twilio, нацеливался на разработчиков, проводя разведку в средах, связанных с Twilio, внедряя пакеты, похищая учетные данные `ACCOUNT_SID` и `AUTH_TOKEN`, сканируя внутренние хосты и запрашивая метаданные облака. Быстро меняющиеся версии пакета указывают на оппортунистическую кампанию, направленную на разведку и кражу учетных данных.
-----

Злонамеранная кампания в npm была направлена на разработчиков, интегрирующих API Twilio с помощью пакета `tw-pkgprobe-7731`, который не имел отношения к Twilio, несмотря на своё название. Пакет был опубликован под учётной записью npm `twdepprobe7731`, при этом 14 августа последовательно были выпущены 11 версий. Поведение версий существенно менялось, а не следовало обычной логике развития программного обеспечения, что указывает на экспериментальный или кампанийный характер пакета.

Версия 1.0.0 выполняла общую извлечение данных. Версии с 1.0.1 по 1.0.3 выдавали себя за средства проверки безопасности Twilio и содержали код в файле `deamon.js`, который искал каталоги, связанные с идентификаторами учетных записей (Account SIDs) Twilio. При обнаружении соответствующих целевых папок ВПО сканировала установленные пакеты npm и каталог `node_modules`, после чего внедряла пакет npm, демонстрирующий концепцию (proof-of-concept), путем создания новых файлов `package.json` и `index.js`.

В версии 1.0.4 была добавлена функция прямого кражи учетных данных. Она собирала значения `process.env.ACCOUNT_SID` и `process.env.AUTH_TOKEN` и передавала их наружу через вебхук. Скомпрометированные учетные данные Twilio могли позволить несанкционированный доступ к API, мошенническую отправку сообщений, злоупотребление одноразовыми паролями (OTP) или дорогостоящее потребление API. В версиях 1.0.8, 1.1.0 и 1.1.1 было возвращено более простое поведение зондирования, характерное для версии 1.0.0.

Финальные версии также выполняли разведку в отношении хостов, связанных с Twilio, включая внутренние или региональные поддомены, такие как `support-api.us1.twilio.com`, `kafka-ui.au1.twilio.com` и `litellm.ai-services.corp.twilio.com`. Одна из версий запрашивала метаданные экземпляра AWS по адресу `169.254.169.254/latest/meta-data/`, однако полученная информация впоследствии не использовалась и не выгружалась.

Кампания демонстрировала ограниченную степень изощренности. ВПО не содержало средств обфускации, не использовало опечатки в доменных именах (typosquatting), не обладало согласованной функциональностью и не предпринимало попыток придать аккаунту, с которого осуществлялась публикация, вид легитимности. Разнообразие наблюдаемых действий включало кражу учетных данных окружения, локальную инъекцию пакетов, зондирование имени хоста и доступ к метаданным облака, что указывает на разведку и оппортунистические компрометации окружений разработчиков Twilio.