В NPM-пакета coa, който има 9 милиона изтегляния на седмица, е внедрено злонамерено софтуерно

Злоумышленниците успяха да получат контрол над NPM пакета coa и да издадат обновления 2.0.3, 2.0.4, 2.1.1, 2.1.3 и 3.1.3, които включват злонамерени изменения. Пакетът coa, който предоставя функции за парсване на аргументи от командния ред, има около 9 милиона изтегляния на седмица и се използва като зависимост от 159 други NPM пакета, включително react-scripts и vue/cli-service. Администрацията на NPM вече премахна версията с злонамерени изменения и блокира публикуването на нови версии до възстановяване на достъпа до репозитория на основния разработчик.

Атаката бе извършена чрез хакване на акаунта на разработчика на проекта. Добавените злонамерени изменения са сходни с тези, използвани в извършената преди две седмици атака срещу потребителите на NPM пакета UAParser.js, но бяха ограничени само до платформата Windows (в блоковете за изтегляне за Linux и macOS бяха оставени празни запълнители). На системата на потребителя от външен хост се изтегляше и стартираше изпълним файл за извършване на криптовалутен добив (использваше се майнера XMRig) и се инсталираше библиотека за прихващане на пароли.

При съставянето на пакет с зловреден код беше допусната грешка, която доведе до срив при инсталирането на пакета. В резултат проблема беше бързо идентифицирана и разпространението на зловредното обновление беше блокирано на ранна фаза. Потребителите трябва да се уверят, че имат инсталирана версия coa 2.0.2 и е желателно да добавят в package.json на своите проекти връзка към работната версия за случай на повторна компрометация. npm и yarn: "resolutions": { "coa": "2.0.2" }, pnpm: "pnpm": { "overrides": { "coa": "2.0.2" } }

Източник: opennet.ru