Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Em um problema de segurança recente, um pacote NuGet fraudulento ameaça os desenvolvedores .NET com a instalação do SeroXen RAT, um trojan de acesso remoto prejudicial. Como o .NET Framework não se limita mais ao Windows, esse incidente tem repercussões de longo alcance, mesmo para sistemas Linux e Mac. Neste blog, vamos abordar os detalhes desse pacote NuGet SeroXen RAT e suas ramificações para desenvolvedores em todas as plataformas.
Descoberta do pacote NuGet malicioso SeroXen RAT
Um pacote malicioso chamado “Pathoschild.Stardew.Mod.Build.Config” foi descoberto no gerenciador de pacotes NuGet, visando especificamente a segurança dos desenvolvedores .NET. Esse pacote fraudulento, criado por um usuário com o pseudônimo “Disti”, se faz passar por um pacote legítimo chamado “Pathoschild.Stardew.ModBuildConfig”. Especialistas em segurança da Phylum, uma empresa especializada em segurança da cadeia de suprimentos de software, divulgaram recentemente um relatório destacando esse desenvolvimento perigoso.
Quase 79.000 pessoas baixaram o pacote original “Pathoschild.Stardew.ModBuildConfig”. Em uma manobra engenhosa, a variante maliciosa aumentou artificialmente sua contagem de downloads, ultrapassando 100.000 downloads após sua 6 de outubro de 2023 .
Perfil do suspeito e falsificação de identidade na Crypto Library
A pessoa responsável pelo pacote malicioso tem um histórico de divulgação de pacotes falsos, o que enfraquece ainda mais a confiança na comunidade de desenvolvimento .NET. Nesse cenário, mais seis pacotes criados pelo mesmo perfil alcançaram mais de 2,1 milhões de downloads. Quatro desses pacotes enganosos, que se disfarçam como bibliotecas para diversos serviços de criptomoedas, como Kraken, KuCoin, Solana e Monero, foram todos projetados para implantar o RAT SeroXen.
Iniciando o ataque
O ataque é iniciado durante a instalação do pacote malicioso. Esse procedimento depende de um script chamado “init.ps1”. Esse script foi considerado obsoleto, mas ainda funciona ao instalar um pacote NuGet sem gerar nenhum aviso. Os invasores podem inserir comandos arbitrários no script “init.ps1”, o que a JFrog já havia revelado em março de 2023.
Dentro do pacote enganoso analisado pela Phylum, o script do PowerShell é usado para baixar um arquivo chamado “x.bin” de um servidor remoto. Esse arquivo é, na verdade, um script em Batch do Windows profundamente camuflado. Esse script é responsável por criar e executar outro script do PowerShell, o que leva à implantação do RAT SeroXen.
SeroXen RAT: uma análise mais detalhada
O SeroXen RAT é um trojan de acesso remoto sem arquivo que pode ser adquirido por US$ 60 com licença vitalícia. Suas funcionalidades são uma combinação do Quasar RAT, do rootkit r77 e do aplicativo de linha de comando do Windows NirCmd. Essa combinação oferece aos fraudadores amplo controle, bem como a capacidade de realizar ações secretas e maliciosas.
Essa descoberta destaca uma tendência preocupante em que os invasores exploram ecossistemas de código aberto para atacar desenvolvedores. Esses ecossistemas dependem da confiança e da colaboração, o que os torna suscetíveis à exploração por parte de agentes mal-intencionados.
Amenças que vão além do .NET
A importância dessa ameaça vai além da comunidade de desenvolvedores .NET. À medida que o .NET se expandiu para rodar em sistemas Linux e Mac, é preciso conscientizar um público mais amplo sobre os riscos associados a pacotes fraudulentos. Esses ataques podem comprometer a segurança, mesmo em plataformas que não sejam Windows.
O pacote NuGet maliciosodetectados não são casos isolados. Uma operação semelhante foi descoberta no Python Package Index (PyPI), com pacotes que imitavam produtos reais de provedores de serviços em nuvem conhecidos, como Aliyun, Amazon Web Services (AWS) e Tencent Cloud. Essas falsificações transmitem secretamente credenciais confidenciais de nuvem para uma URL externa ofuscada.
A importância da sutileza na estratégia de ataque
Um aspecto marcante desses ataques é a sutileza empregada pelos invasores. Eles buscam preservar a funcionalidade original dos pacotes, com o objetivo de passar despercebidos. O ataque é minimalista e direto, mas altamente eficaz. Essas táticas se concentram em explorar a confiança que os desenvolvedores depositam em bases de código já estabelecidas.
Os autores desses pacotes fraudulentos não se limitaram a uma única área geográfica específica. Os downloads de bibliotecas falsificadas foram observados principalmente nos Estados Unidos, seguidos pela China, Cingapura, Hong Kong, Rússia e França. Esse alcance internacional ressalta a natureza global dessas ameaças.
Um desafio constante para os desenvolvedores
Esses incidentes fazem parte de uma campanha contínua e cada vez mais sofisticada para comprometer as cadeias de suprimentos de software. Anteriormente, a Checkmarx revelou uma campanha que se infiltrou no PyPI com 271 pacotes Python maliciosos, criados para roubar dados confidenciais e criptomoedas de hosts do Windows. Portanto, proteger as dependências do NuGet deve ser uma prioridade máxima em sua estratégia de segurança cibernética.
Respondendo à ameaça
Uma atualização sobre a situação revela que os seis pacotes restantes publicados pela “Disti” no NuGet, incluindo KucoinExchange.net, Kraken.Exchange, SolanaWallet, Modern.Winform.UI, Monero e DiscordsRpc, não estão mais disponíveis. Isso reflete os esforços contínuos para mitigar essas ameaças.
Conclusão
A descoberta de um pacote NuGet malicioso que causava o ataque do RAT SeroXen serve como um forte lembrete dos riscos presentes nos ecossistemas de código aberto. Os desenvolvedores, independentemente do sistema operacional que utilizem, devem permanecer vigilantes e adotar práticas de segurança robustas para proteger seus projetos e a integridade de suas cadeias de suprimentos.
Segurança cibernética para desenvolvedores .NET é uma preocupação fundamental no cenário digital atual. Manter-se informado é sua melhor defesa em um mundo onde as ameaças digitais não conhecem limites. Seja você um desenvolvedor .NET no Windows ou um desenvolvedor que trabalha em várias plataformas, a vigilância em segurança é uma responsabilidade compartilhada. Confie, mas verifique, e proteja seus projetos contra pacotes enganosos e possíveis brechas de segurança.
As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e SC Media.
