Журналист издания Axios Сэм Сабин опубликовал интересный эксклюзивный материал на основе исследования компании CrowdStrike. В нём описан уникальный случай, когда финансово мотивированный злоумышленник написал ⚠️ вредоносное ПО с помощью LLM, а затем внедрил его в репозиторий открытого кода, чтобы получать белые выплаты за обнаруженные уязвимости.🎩Хакер решил взламывать 💻компании, находя в их инфраструктуре уязвимости, чтобы в итоге обманом получать легитимные выплаты под видом "белого хакера".
Схема:
Генерация вредоносного ПО с помощью ИИ → Загрузка вредоносных пакетов в npm → Компрометация устройств разработчиков и сбор учётных данных → Проникновение во внутреннюю инфраструктуру → Поиск уязвимостей → Отправка отчётов в программы bug bounty и получение выплат.
Оператор PhantomRaven позиционирует себя как багхантер и ведёт активность с конца 2022 года. Злоумышленник разместил в открытом репозитории npm пакеты с вредоносным ПО, получившим название PhantomRaven. При установке этих библиотек вредоносный код выполнялся на устройствах разработчиков, собирал конфиденциальные сведения, учётные данные и техническую информацию.
Вектор атак:
Распространение строилось на публикации тайпсквоттинговых пакетов в репозитории npm. При установке таких пакетов менеджер npm загружал в виде зависимости полезную нагрузку с управляющих серверов атакующего, после чего внутри неё автоматически срабатывал сценарий предварительной установки (preinstall). В актуальных версиях npm разработчики добавили защиту, блокирующую автоматическое выполнение подобных скриптов без явного разрешения пользователя.
По оценке CrowdStrike, получив доступ к инфраструктуре компаний через скомпрометированные компьютеры разработчиков, злоумышленник выявлял слабые места и уязвимости в корпоративных системах. Затем он направлял отчёты в официальные программы bug bounty, рассчитывая на получение законного денежного вознаграждения.
Хакер открыто заявил о получении выплат минимум от 9 компаний из сфер технологий, розничной торговли и гостиничного бизнеса. ИБ-специалисты CrowdStrike реагировали на инциденты и устраняли последствия атак PhantomRaven в нескольких организациях, однако точная связь между всеми заявленными выплатами и этим вредоносным ПО остаётся неясной.
Исследователи CrowdStrike с высокой долей уверенности полагают, что вредоносное ПО было сгенерировано ИИ-моделью. На это указали оставленные в коде подробные комментарии, шаблонные блоки-заглушки и статистические паттерны анализа токенов.
👆Старший вице-президент CrowdStrike по противодействию киберугрозам Адам Майерс отметил, что участие в программах bug bounty позволило злоумышленнику не только заработать, но и завоевать авторитет в сообществе.
✋ @Russian_OSINT