Google’s Threat Intelligence Group says adversaries are increasingly using AI to automate attacks, accelerate credential theft, and scale exploitation across the open-source supply chain. Nation-state-linked groups such as UNC6780, UNC6508, APT42, APT24, and UNC1069 are also leveraging AI for reconnaissance, malware development, social engineering, propaganda, and theft. #UNC6780 #UNC6508 #APT42 #APT24...

Hackers norte coreanos comprometeram o axios, biblioteca JavaScript com mais de 100 mil downloads semanais, após enganar seu mantenedor principal com uma empresa falsa no Slack e uma atualização fraudulenta do Microsoft Teams que instalou um trojan. Com as credenciais roubadas, publicaram versões do pacote contendo uma dependência maliciosa que se instalava automaticamente em qualquer projeto que atualizasse o axios. As versões ficaram no ar por três horas. O Google atribui o ataque ao UNC1069 com base no malware WAVESHAPER.V2. A CrowdStrike aponta o STARDUST CHOLLIMA com base no ZshBucket, agora com variantes para Linux e Windows além do macOS. A firma Socket identificou que o axios foi apenas um dos alvos: a campanha mirou mantenedores de pacotes com bilhões de downloads semanais no ecossistema Node.js. Sistemas que instalaram as versões afetadas devem ser considerados comprometidos.

O Google Threat Intelligence Group atribuiu o ataque ao axios ao UNC1069, grupo com ligações à Coreia do Norte ativo desde 2018. O incidente, reportado pelo TecMundo na segunda-feira, comprometeu a biblioteca JavaScript mais baixada do npm, com mais de 100 milhões de downloads semanais. As versões maliciosas ficaram no ar por menos de três horas, tempo suficiente para infectar máquinas de desenvolvedores e pipelines automatizados ao redor do mundo. O malware implantado, WAVESHAPER.V2, é um trojan de acesso remoto com variantes para Windows, macOS e Linux. A atribuição foi baseada em sobreposições de infraestrutura e assinaturas técnicas reconhecidas de campanhas anteriores do UNC1069. O Google alerta que outro grupo, o UNC6780, contaminou pacotes do GitHub Actions e PyPI nas mesmas semanas. A combinação dos ataques pode ter colocado centenas de milhares de credenciais em circulação, com potencial para ransomware, novos ataques em cadeia e roubo de criptomoedas.

UNC1069, vinculado a Corea del Norte, lanza ataques con deepfake y siete familias de malware contra empresas cripto en macOS y Windows para robar criptomonedas y datos estratégicos. Así funciona la ca...