Read, Watch or Listen

Investigadores de seguridad con sede en Estados Unidos informaron que cuatro populares paquetes de Laravel-Lang para Composer fueron envenenados subrepticiamente con malware después de que atacantes manipularan etiquetas de Git para redirigir a los usuarios a código malicioso, según un artículo de SecurityWeek publicado el lunes. Las bibliotecas de localización PHP afectadas son laravel-lang/lang, laravel-lang/http-statuses, laravel-lang/attributes y laravel-lang/actions, que son ampliamente utilizadas por aplicaciones Laravel. Investigadores de StepSecurity, Socket y Aikido Security dijeron que el ataque comenzó el 22 de mayo, cuando los atacantes reescribieron etiquetas de versión en cientos de lanzamientos históricos para que apuntaran a commits controlados por atacantes en un fork, sin alterar los repositorios oficiales de GitHub. Para las 00:00 UTC del 23 de mayo, los cuatro paquetes habían sido envenenados, lo que significa que tanto las nuevas instalaciones como las actualizaciones de rutina podrían haber incluido las versiones comprometidas. Analistas de seguridad de Estados Unidos dijeron que las etiquetas maliciosas introdujeron un archivo llamado src/helpers.php que se hacía pasar por un ayudante de localización normal de Laravel, pero en su lugar huellaba sistemas y contactaba al dominio de comando y control flipboxstudio[.]info para descargar y ejecutar un ladrón de credenciales basado en PHP. Los investigadores informaron que el malware se dirigió a una amplia gama de secretos y datos de configuración en sistemas Windows, Linux y macOS, incluidas claves en la nube para Amazon Web Services, Google Cloud Platform y Microsoft Azure, así como configuraciones de Docker y Kubernetes, tokens de HashiCorp Vault, claves privadas SSH, credenciales almacenadas en el navegador, datos del gestor de contraseñas, billeteras de criptomonedas, herramientas de comunicación, configuraciones de VPN, secretos de CI/CD, archivos .env y otros archivos sensibles de aplicaciones locales. Expertos en seguridad aconsejaron a las organizaciones y usuarios individuales que bloqueen los paquetes afectados, traten cualquier sistema que haya instalado las versiones comprometidas como potencialmente vulnerado y roten las credenciales y tokens expuestos en la infraestructura en la nube, los entornos de desarrollo y las plataformas de control de código fuente.

Prepared by Jonathan Pierce and reviewed by editorial team.