Trojan Kothamine z pakietów npm steruje komputerem z Windows przez tailcat od Tailscale

Malwarebytes Labs opisał nieudokumentowanego trojana zdalnego dostępu Kothamine Agent, powiązanego ze złośliwymi pakietami npm. Obsługuje ponad 30 poleceń, a w nowszych wersjach odbiera je przez tailcat, otwarte narzędzie firmy Tailscale. Połączenie jest szyfrowane i nie ma klasycznej domeny C2, którą dałoby się zablokować.

Trojan daje atakującym kontrolę nad zainfekowanym komputerem z Windows: uruchamia polecenia, czyta i zmienia pliki, a nowe funkcje dokłada w postaci bibliotek DLL. Niektóre wersje kradną dane z przeglądarki i nagrywają obraz z kamery oraz dźwięk z mikrofonu. Próbki w VirusTotal i commity na GitHubie wskazują, że narzędzie jest rozwijane albo rozsyłane co najmniej od lipca. Wcześniejsze wersje korzystały z Tailscale VPN.

Kogo dotyczy

Użytkownicy i programiści, którzy instalują złośliwe pakiety npm na komputerach z Windows. Materiał nie podaje nazw tych pakietów.

Co zrobić

Przed instalacją nieznanego pakietu npm sprawdź jego repozytorium, opiekunów, zależności i ostatnie wydania. Poszukaj zgłoszeń o złośliwej aktywności i wybieraj pakiety, które mają ugruntowaną historię i są regularnie utrzymywane.