Gói NPM độc hại đánh cắp tài khoản và tin nhắn WhatsApp

Được phát triển dựa trên dự án WhiskeySockets Baileys nổi tiếng, gói phần mềm độc hại này đã có mặt trên npm với tên gọi “lotusbail” trong vòng sáu tháng và thu hút hơn 56.000 lượt tải xuống. Các nhà nghiên cứu tại Công ty bảo mật chuỗi cung ứng Koi Security đã phát hiện ra hoạt động của lotusbail và nhận thấy nó có thể đánh cắp token xác thực và khóa phiên của WhatsApp, chặn và ghi lại tất cả tin nhắn - cả tin nhắn gửi và nhận, cũng như đánh cắp danh bạ, tệp tin đa phương tiện và tài liệu.

“Gói phần mềm này bao bọc WebSocket client hợp pháp giao tiếp với WhatsApp. Mỗi tin nhắn truyền qua ứng dụng của bạn đều phải đi qua trình bao bọc socket của phần mềm độc hại trước. Khi bạn xác thực, nó sẽ thu thập thông tin đăng nhập của bạn. Ngoài ra, khi tin nhắn đến và gửi đi, phần mềm độc hại cũng sẽ chặn và ghi lại những thông tin đó”, các nhà nghiên cứu giải thích. Thông tin thu thập được sẽ mã hóa bằng thuật toán RSA tùy chỉnh và nhiều lớp làm rối, chẳng hạn như các kỹ thuật Unicode, nén LZString và mã hóa AES trước khi được trích xuất.

Ngoài hoạt động đánh cắp dữ liệu, gói phần mềm độc hại còn chứa mã liên kết thiết bị của kẻ tấn công với tài khoản WhatsApp của nạn nhân thông qua quá trình ghép nối thiết bị.

Điều này cho phép tin tặc duy trì quyền truy cập vào tài khoản ngay cả sau khi gói NPM độc hại đã bị xóa. Quyền truy cập vẫn được duy trì cho đến khi nạn nhân tự xóa các thiết bị được liên kết khỏi cài đặt WhatsApp. Koi Security báo cáo rằng lotusbail sử dụng một bộ 27 vòng lặp vô hạn để làm cho việc gỡ lỗi và phân tích trở nên khó khăn hơn, đó có thể là lý do tại sao nó lại có thể hoạt động mà không bị phát hiện trong thời gian dài như vậy.

Các nhà phát triển đã sử dụng gói phần mềm này được khuyến cáo nên gỡ bỏ nó khỏi hệ thống và kiểm tra tài khoản WhatsApp của mình xem có thiết bị nào bị liên kết trái phép hay không.

Koi Security nhấn mạnh rằng việc chỉ xem mã nguồn để tìm ra các dòng lệnh độc hại là chưa đủ; các nhà phát triển nên giám sát hành vi trong quá trình thực thi để phát hiện các kết nối ra ngoài bất thường, hoặc hoạt động trong quá trình xác thực với các thành phần phụ thuộc mới nhằm xác nhận tính an toàn của chúng.