Laravel-Lang PHP Packages Compromised to Deliver Cross-Platform Credential Stealer

Introducción

El pasado mes de mayo, se informó que varias versiones de paquetes PHP gestionados por Laravel-Lang habían sido comprometidos. Estos paquetes, utilizados para la internacionalización y traducción en aplicaciones PHP, se han utilizado para distribuir un malware de captura de credenciales que opera de manera cruzada entre diferentes sistemas operativos. Este artículo analiza la amenaza, su impacto y las medidas de mitigación recomendadas.

Detalles técnicos del incidente

Los paquetes comprometidos son laravel-lang/language-pack, laravel-lang/translator, y laravel-lang/locale. Cada uno de estos paquetes fue modificado para incluir código malicioso, que se ejecuta en el momento de la instalación de la aplicación. Este código malicioso se encarga de descargarse y ejecutar el malware de captura de credenciales.

Malware utilizado

El malware utilizado en este incidente es conocido como Cross-Platform Credential Stealer. Este malware es capaz de recoger credenciales de diversas aplicaciones y servicios, incluyendo información sobre bases de datos, autenticación de SSH, y otros sistemas de autenticación. El malware se ejecuta tanto en sistemas Windows como en Linux, lo que lo hace especialmente peligroso debido a la amplia gama de plataformas a las que puede acceder.

Detalles técnicos del malware

El malware malicioso está diseñado para ser descargado y ejecutado de manera automática. Una vez que el paquete malicioso es instalado, el malware descarga una serie de archivos y se instala en la máquina del usuario sin que éste se dé cuenta. Los archivos descargados incluyen una versión modificada de sshpass, un programa de línea de comandos utilizado para iniciar sesión en sistemas SSH sin necesidad de introducir una contraseña. Además, se descarga y ejecuta un script de Bash que se encarga de recoger credenciales de las aplicaciones y servicios en ejecución.

Impacto y distribución

El impacto de este incidente es considerable debido a la amplia gama de aplicaciones y proyectos que utilizan los paquetes comprometidos. Laravel-Lang es ampliamente utilizado en el ecosistema PHP, lo que significa que cualquier proyecto que dependa de estos paquetes podría estar expuesto a la amenaza. La distribución del malware se realizó a través de las plataformas de repositorio de paquetes Composer, lo que permitió a los atacantes expandir rápidamente su alcance.

Medidas de mitigación

• Actualización inmediata de paquetes: Las organizaciones deben actualizar de inmediato todos los proyectos que dependan de los paquetes comprometidos a las versiones más recientes, que ya incluyen parches para las vulnerabilidades identificadas.
• Verificación de firmas de paquetes: Los desarrolladores deben habilitar la verificación de firmas de paquetes en su configuración de Composer para garantizar la integridad de los paquetes instalados.
• Monitoreo de actividad: La implementación de sistemas de monitoreo y detección de amenazas puede ayudar a identificar rápidamente cualquier actividad sospechosa en las aplicaciones.
• Prácticas de seguridad robustas: Las organizaciones deben implementar prácticas de seguridad sólidas, incluyendo la implementación de controles de acceso y la gestión de claves en la nube.

Conclusión

Este incidente demuestra la importancia de la seguridad en las dependencias de software y la necesidad de mantener una vigilancia constante sobre los paquetes utilizados en proyectos. Los desarrolladores y las organizaciones deben tomar medidas proactivas para mitigar este tipo de amenazas y proteger sus sistemas y datos.

Fuente: The Hacker News