Cybersecurity-onderzoekers hebben een kwaadaardig NuGet-pakket ontdekt dat zich voordoet als een C#-softwareontwikkelingskit voor Sicoob, een van de grootste coöperatieve financiële systemen van Brazilië, om client-ID’s en PFX-certificaten over te hevelen.
Volgens Socket bevatten versies 2.0.0 tot en met 2.0.4 van “Sicoob.Sdk” functionaliteit om gevoelige informatie te exfiltreren, waaronder PFX-certificaten die worden gebruikt om bedrijven te authenticeren bij het Sicoob-banknetwerk om bankactiviteiten te automatiseren, zoals het verwerken van directe betalingen en het genereren van dynamische Pix QR-codes. Het pakket is naar schatting bijna 500 keer gedownload.
“Wanneer een ontwikkelaar SicoobClient instantiëert met een client-ID, een PFX-bestandspad en een PFX-wachtwoord, leest het pakket het PFX-bestand van schijf, codeert Base64 de inhoud ervan en verzendt het geleverde client-ID, PFX-wachtwoord en gecodeerde PFX-gegevens naar een hardgecodeerd Sentry-eindpunt van derden”, aldus beveiligingsonderzoeker Kirill Boychenko.
Bovendien is het pakket ontworpen om onbewerkte Boleto API-reacties vast te leggen via een afzonderlijk Sentry-pad. Boleto is in Brazilië een populaire contante betaalmethode voor het doen van online en offline aankopen. Hierdoor kunnen mogelijk gevoelige transactiegegevens, betalingsstatus, bedragen, vervaldata, identificatiegegevens en gegevens van de betaler of begunstigde openbaar worden gemaakt.
Als gevolg hiervan zouden de gestolen gegevens de deur kunnen openen voor ernstige risico’s, omdat deze door de bedreigingsacteur kunnen worden misbruikt om de Sicoob banking API-integratie van het slachtoffer na te bootsen, voegde Socket eraan toe. Na verantwoorde openbaarmaking is het pakket geblokkeerd door NuGet. Het profiel achter het pakket, genaamd “sicoob”, vermeldt ook 11 andere NuGet-pakketten die samen ongeveer 6.000 downloads hebben opgeleverd.
Het applicatiebeveiligingsbedrijf zei ook dat het pakket door Google Search AI Mode naar voren werd gebracht als een legitieme C#-bibliotheek voor interactie met Sicoob banking API’s, waardoor het kwaadaardige pakket werd vergroot voor nietsvermoedende ontwikkelaars die er mogelijk naar op zoek waren.
Een ander belangrijk aspect van de aanval is de mismatch tussen de bron en het pakket tussen de gekoppelde GitHub-repository en het artefact dat via NuGet wordt gedistribueerd. Er wordt vermoed dat de GitHub-repository is ontworpen om een laagje legitimiteit aan de operatie te geven door deze schoon te houden, terwijl de kwaadaardige functionaliteit voor het stelen van gegevens alleen wordt geïntroduceerd in het pakket dat naar het register is geüpload.
Bovendien kan het compromitteren van Sicoob API-authenticatiemateriaal ook indirecte risico’s voor eindgebruikers met zich meebrengen, omdat het stroomafwaartse financiële gegevens kan lekken of betalingsmisbruik mogelijk maakt.
Organisaties die “Sicoob.Sdk” hebben geïnstalleerd, wordt aangeraden het pakket onmiddellijk te verwijderen, PFX-materiaal als gecompromitteerd te behandelen, blootgestelde PFX-certificaten te vervangen, PFX-wachtwoorden te roteren en de getroffen client-ID’s te wijzigen of uit te schakelen, indien van toepassing. Het wordt ook aangeraden om Sicoob-authenticatie en API-logboeken te controleren op tekenen van ongebruikelijke activiteit.
De ontwikkeling valt samen met de ontdekking van veertien kwaadaardige npm-pakketten die bekende OpenSearch-, ElasticSearch-, DevOps- en omgevingsconfiguratiebibliotheken typosquatten om AWS-referenties, HashiCorp Vault-tokens, npm-tokens en CI/CD-pijplijngeheimen uit de hostomgeving te verzamelen met behulp van een speciaal gebouwde credential harvester die wordt gelanceerd via een pre-install hook.
Volgens het Microsoft Defender Security Research Team zijn de pakketten op 28 mei 2026 gepubliceerd door één enkele bedreigingsacteur genaamd “vpmdhaj” (“[email protected]”). De namen van de pakketten staan hieronder:
- @vpmdhaj/devops-tools
- @vpmdhaj/elastic-helper
- @vpmdhaj/opensearch-setup
- @vpmdhaj/search-setup
- app-config-utility
- elastische-opensearch-helper
- env-config-manager
- opensearch-config-utility
- opensearch-beveiligingsscanner
- opensearch-setup
- opensearch-setup-tool
- zoekcluster-setup
- zoekmachine-instellingen
- vpmdhaj-opensearch-setup
De bevindingen zijn de laatste in een duizelingwekkende golf van aanvalscampagnes op de toeleveringsketen die zich de afgelopen dagen op het npm-ecosysteem hebben gericht –
- 164 kwaadaardige npm-pakketten verdeeld over vijf bereikbare naamruimten die een postinstall-payload bevatten die JavaScript uit de tweede fase downloadt, dit als een losstaand proces voortbrengt en de omgevingsvariabelen van het slachtoffer (“process.env”) naar “oob.moika(.)tech/report” stuurt.
- 141 kwaadaardige npm-pakketten gepubliceerd tussen 7 en 27 mei 2026, die npm misbruiken als gratis statische hosting voor een door advertenties gegenereerde webproxy die zich richt op studenten en popunder-advertenties weergeeft aan degenen die deze pagina’s bereiken via zoekresultaten of gedeelde links.
- Een kwaadaardig npm-pakket met de naam “forge-jsxy” dat in staat is tot keylogging, klembordmonitoring, .env-scannen, exfiltratie van shell-geschiedenis, hostinventaris, externe toegang tot het bestandssysteem, screenshot-opname en scannen van cryptocurrency-portemonnees. Er wordt aangenomen dat “Forge-jsxy” een voortzetting is van de “forge-jsx”-campagne die eind vorige maand aan het licht kwam.
- 176 kwaadaardige npm-pakketten die gebruik maken van afhankelijkheidsverwarring door een hoog versienummer (“99.99.99”) te gebruiken om een postinstall-script te verspreiden met de mogelijkheid om een vingerafdruk van de host te maken en een platformspecifieke JavaScript-payload te downloaden, die vervolgens aanvullende verkenningen uitvoert, inloggegevens en andere waardevolle ontwikkelaarsgeheimen exfiltreert, en een binair bestand in de tweede fase downloadt en uitvoert.
In een nieuw gepubliceerd rapport zegt Sonatype dat bedreigingsactoren de klassieke typosquatting-technieken zijn ontgroeid en zich voorbij voor de hand liggende spelfouten hebben begeven naar het gebruik van namen die overtuigend lijken in legitieme ontwikkelaarsworkflows om gegevens te stelen en kwaadaardige ladingen te droppen. Dit verandert op zijn beurt een routinematige installatiestap in een riskante route voor verkenning, diefstal van inloggegevens en daaropvolgende compromissen.
Populaire brandjacking-technieken zijn onder meer het toevoegen van voor- of achtervoegsels, verwarring van afhankelijkheid, versie-nabootsing, ingebedde doeltermen, gewijzigde scopes of naamruimten en namen die lijken op de functie van een legitiem pakket.
“Typosquatting is nu een te smal label voor wat deze analyse omvat”, aldus het beveiligingsbedrijf voor de toeleveringsketen. “Het bredere patroon is gefabriceerde legitimiteit: aanvallers ontwerpen pakketnamen om er plausibel, nuttig en operationeel routinematig uit te zien binnen moderne software-ecosystemen.”
Deze incidenten hebben zich ook voorgedaan tegen een reeks compromissen in de softwaretoeleveringsketen die zijn gekoppeld aan TeamPCP (ook wel Replicating Marauder en UNC6780 genoemd), wat een kracht is geworden waarmee rekening moet worden gehouden door populaire ontwikkelaarstools in npm, PyPI, Docker Hub en Packagist op een wormachtige manier te vergiftigen.
“Het repliceren van Marauder betekende niet alleen het invoegen van kwaadaardige code in pakketten, maar ook het exploiteren van automatisering, geërfd vertrouwen en gewone CI/CD-workflows om compromissen verder stroomafwaarts te duwen”, aldus BlueVoyant-onderzoeker Michael Warren.
“Dit was het punt waarop de campagne het duidelijkst aantoonde dat één vergiftigde afhankelijkheid of containerimage een compromis kon veroorzaken in de releasepijplijn van een niet-verwante organisatie. De tactische verschuiving maakte van geïsoleerde softwarevergiftiging een reproduceerbare methode voor de uitbreiding van slachtoffer tot slachtoffer.”
