Cybersecurityonderzoekers ontdekken WeaselBiscuit, een nieuwe JavaScript-stealer die via 13 npm-pakketten Chrome-extensiegegevens steelt.
Onderzoekers hebben een cluster van 13 npm-pakketten geïdentificeerd die een nieuwe JavaScript-stealer verspreiden, genaamd WeaselBiscuit. Deze malwarefamilie, beschreven door OpenSourceMalware, vertoont functionele overeenkomsten met twee malwarevarianten die gelinkt worden aan Noord-Koreaanse dreigingsactoren: BeaverTail en OtterCookie. Volgens securityonderzoeker Paul McCarty is WeaselBiscuit kleiner, lichter en sterk vereenvoudigd ten opzichte van deze voorgangers.
De betrokken npm-pakketten, waaronder @biz44/id10-client en @biz44/process-runtime-utils, worden via een npm-import geactiveerd, waarna een loader het hoofdprogramma direct in het geheugen laadt vanaf een Npoint dead drop. Na uitvoering haalt de malware zijn command-and-control (C2) configuratie op via een aparte Npoint-URL, profileert het geïnfecteerde systeem en verzamelt het data uit de opslag van Chrome-extensies op Windows, macOS en Linux. Op Windows-machines kan WeaselBiscuit ook het klembord en toetsaanslagen loggen, afhankelijk van de ontvangen C2-commando's.
In tegenstelling tot BeaverTail en OtterCookie ontbreekt WeaselBiscuit functionaliteit voor remote access, persistente aanwezigheid, het leegtrekken van cryptowallets of het afleveren van secundaire payloads. Desondanks is het stelen van Chrome-extensiegegevens financieel relevant, omdat het gevoelige informatie zoals wallet-extensiegegevens kan blootleggen. De malware uploadt alle leesbare bestanden uit de Local Extension Settings-directory, een LevelDB key/value store, naar de C2-server.
Hoewel er duidelijke overeenkomsten zijn met Noord-Koreaanse malwarecampagnes, is er geen sluitend bewijs dat WeaselBiscuit daadwerkelijk door Noord-Koreaanse actoren wordt ingezet. Signalen die wijzen op een DPRK-verbinding zijn onder meer het gebruik van de JSON-opslagdienst Npoint.io, vergelijkbare C2-architectuur en het gebruik van numerieke campagne-ID's die overeenkomen met eerdere campagnes. Mocht WeaselBiscuit inderdaad een uitbreiding zijn van het Noord-Koreaanse malwarearsenaal, dan is dit niet de eerste poging om functies van BeaverTail en OtterCookie te combineren.
