В NPM пакета UAParser.js, който има 8 милиона сваляния на седмица, е внедрено злонамерено софтуер.

История за изтриването на три злонамерени пакета от хранилището NPM, които копираха кода на библиотеката UAParser.js, получи неочаквано развитие — неизвестни хакери овладяха акаунта на автора на проекта UAParser.js и публикуваха актуализации, съдържащи код за кражба на пароли и крипто копаене.

Проблемът е, че библиотеката UAParser.js, която предлага функции за анализ на заглавките на User-Agent, има около 8 милиона изтегляния на седмица и се използва като зависимост в повече от 1200 проекта. Съобщава се, че UAParser.js се използва в проекти на компании като Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP и Verison.

Атаката е била извършена чрез хакване на акаунта на разработчика на проекта, който осъзнал, че нещо не е наред след необичайна вълна от спам, заляла пощенската му кутия. Не се съобщава как точно е било хакнато акаунтът на разработчика. Атакуващите създадоха версиите 0.7.29, 0.8.0 и 1.0.0, внедрявайки злонамерен код в тях. В рамките на няколко часа разработчиците възвърнаха контрола над проекта и създадоха актуализации 0.7.30, 0.8.1 и 1.0.1, които отстраниха проблема. Злонамерените версии бяха публикувани само под формата на пакети в хранилището NPM. Git хранилището на проекта в GitHub не пострада. На всички потребители, инсталирали проблемните версии, при откритие на файл jsextension в Linux/macOS, а в Windows файловете jsextension.exe и create.dll, се препоръчва да считат системата за компрометирана.

Добавените злонамерени промени напомняха на изменения, предложени по-рано в клонирането на UAParser.js, които явно са били публикувани за тестване на функционалността преди извършването на широкообхватна атака на основния проект. Изпълнимият файл jsextension е бил изтеглен и стартиран на системата на потребителя от външен хост, в зависимост от платформата на потребителя, и поддържаше работа в Linux, macOS и Windows. За платформата Windows, освен софтуера за копаене на криптовалута Monero (използван беше копачът XMRig), хакерите също така внедриха библиотеката create.dll за прихващане на пароли и тяхното изпращане на външен хост.

Код за изтегляне беше добавен в файла preinstall.sh, където се появи вставка IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') if [ -z "$IP" ] … изтегляне и стартиране на изпълнимия файл fi

Както е видно от кода, скриптът първоначално проверява IP адреса в услугата freegeoip.app и не стартира вредоносно приложение за потребители от Русия, Украйна, Беларус и Казахстан.

Източник: opennet.ru