Npm-registeret brukt som infrastruktur for målrettet phishing

Socket har avdekket en langvarig og målrettet phishing-kampanje som brukte npm-registeret som lagrings- og leveringsinfrastruktur. Over minst fem måneder publiserte aktørene 27 ondsinnede pakker under seks ulike publisistaliaser. Pakkene leverte phishing-sider som kjøres i nettleseren og etterligner arbeidsflyter for sikker dokumentdeling og Microsofts innloggingsside. Sidene ble levert via npms innholdsnettverk og hadde kontroller som krevde brukerinteraksjon og motvirket automatisk analyse. Målene var enkeltpersoner i 25 virksomheter innen industri, industriell automasjon, plast og helse i USA og allierte land, med forhåndsutfylte e-postadresser i innloggingsvinduet.

Hva det betyr for virksomheten

Lenker til npms innholdsnettverk ser legitime ut og passerer filtre som vurderer domenets omdømme. At mottakerens adresse er fylt inn på forhånd gjør siden mer troverdig for den som klikker. Norsk industri og leverandører til forsvars- og helsesektoren hører til den målgruppen som er beskrevet.

Berigo anbefaler

• Innfør phishing-resistent flerfaktorautentisering på Microsoft-kontoer, slik at stjålne passord ikke er nok.
• Behandle lenker til innholdsnettverk for pakkeregistre som mistenkelige i e-post til vanlige ansatte.
• Lær ansatte at en innloggingsside med adressen deres allerede utfylt er et varselsignal, ikke en bekvemmelighet.
• Sett opp varsling på nye innlogginger og enhetsregistreringer i Microsoft 365.

Kilde

• socket.dev