Um pacote malicioso do NuGet que se faz passar pela biblioteca de pagamentos .NET Braintree colocou sistemas de produção em risco. O pacote pode coletar detalhes de cartões em tempo real durante transações e enviar os dados sem alertar o aplicativo ou seus usuários. Além disso, ele busca credenciais que podem dar aos criminosos acesso mais amplo aos sistemas dos comerciantes.
Descoberta e Escopo do Ataque
Os pesquisadores da Socket.dev identificaram o pacote malicioso enquanto examinavam uma campanha voltada para cadeias de suprimentos de software. O ataque explora o typosquatting, onde um nome de pacote quase idêntico pode parecer confiável durante uma atualização de dependência apressada. Uma vez adicionado ao projeto, o código alterado é executado dentro do fluxo de pagamento, onde pode observar informações sensíveis.
O risco é especialmente sério para organizações que processam transações reais de clientes, em vez de dados de teste. O implante foi construído para atingir ambientes ao vivo e reunir tanto dados de pagamento quanto segredos de comerciantes. Sua presença transforma uma dependência de software comum em uma rota direta para roubo.
Vetor e Exploração Técnica
O pacote rogue contém código que intercepta a atividade de pagamento e captura informações fornecidas durante a criação de cartões e outras operações de gateway. Em vez de interromper o processo de pagamento, ele tenta se misturar a ele. Isso dá aos atacantes a oportunidade de obter dados enquanto o aplicativo continua funcionando normalmente.
O malware usa ofuscação XOR para ocultar seu destino de comando e controle (C2). O XOR é um método simples de embaralhar texto para que os detalhes do servidor legíveis não sejam visíveis claramente no pacote. A técnica pode retardar revisões rotineiras e tornar conexões de rede suspeitas mais difíceis para os defensores identificarem.
O código verifica se está operando em um ambiente de produção antes de realizar a atividade de coleta de chaves. Essa filtragem exclusiva de produção ajuda os atacantes a evitar expor a campanha durante o desenvolvimento e testes.
Impacto e Alcance
Um comprometimento bem-sucedido pode expor compradores, comerciantes e os sistemas usados para processar transações. O malware também visa credenciais de comerciantes, variáveis de ambiente e tokens de acesso armazenados por aplicativos. Esses valores podem desbloquear serviços de pagamento, contas em nuvem, bancos de dados ou outros recursos conectados. Perder esses dados pode estender o dano muito além de um único aplicativo comprometido e facilitar ataques subsequentes.
Medidas de Mitigação Recomendadas
Equipes que instalaram o pacote afetado devem removê-lo, examinar seus registros de dependência e verificar os logs do aplicativo em busca de conexões de saída inesperadas. Eles também devem tratar credenciais de pagamento, tokens e segredos disponíveis para o aplicativo afetado como potencialmente expostos. A rotação rápida de credenciais pode limitar a capacidade do atacante de reutilizar o acesso roubado.
As organizações devem verificar os editores dos pacotes, comparar os nomes dos pacotes cuidadosamente e revisar alterações inesperadas antes de aprovar novas dependências. Arquivos de bloqueio, repositórios internos controlados e verificações automatizadas podem reduzir a chance de um pacote não revisado chegar à produção.
Indicadores de Comprometimento (IoCs)
- URL C2:
wss://wordpressws.com/ws(Endpoint WebSocket usado para comunicações maliciosas de comando e controle e transmissão de dados) - Domínio:
wordpressws.com(Domínio associado ao endpoint WebSocket malicioso identificado)
Nota: Endereços IP e domínios são intencionalmente defanged (ex: [.]) para evitar resolução acidental ou hiperlinking. Re-fang apenas dentro de plataformas de inteligência de ameaças controladas como MISP, VirusTotal ou seu SIEM.
O que os CISOs devem fazer imediatamente
Equipes de segurança devem inspecionar aplicativos em execução, em vez de limitar sua revisão ao tempo de instalação. Uma dependência que parece inofensiva no início pode ativar apenas quando detecta condições de produção. Procurar solicitações incomuns, acesso a segredos e alterações no fluxo de pagamento pode ajudar a descobrir atividades antes que uma violação mais ampla se desenvolva.