В NPM репозитория бяха открити 17 злонамерени пакета, разпространявани чрез тайпсквотинг, т.е. с имена, наподобяващи популярни библиотеки, за да се надява, че потребителят ще направи печатна грешка при въвеждането на името или няма да забележи разликите, избирайки модул от списъка.
Пакетите discord-selfbot-v14, discord-lofy, discordsystem и discord-vilao използваха модифицирана версия на легитимната библиотека discord.js, която предоставя функции за взаимодействие с API на Discord. Злонамерените компоненти бяха интегрирани в един от файловете на пакета и включваха около 4000 реда код, объркан с използването на изкривяване на имената на променливите, криптиране на низове и нарушаване на форматирането на кода. Кодът сканираше локалната файлова система за токени на Discord и при откритие ги изпращаше на сървър злоумышленников.
Пакет fix-error беше обявен за поправящ грешки в Discord selfbot, но включваше троянското приложение PirateStealer, което крадеше номера на кредитни карти и акаунти, свързани с Discord. Злонамереният компонент се активираше чрез инжектиране на JavaScript код в клиента на Discord.
Пакет prerequests-xcode включваше троян за организиране на отдалечен достъп до системата на потребителя, основан на Python приложение DiscordRAT.
Счита се, че достъпът до сървърите на Discord е нужен на злонамерените субекти за разгръщане на контролни точки на ботнет, като прокси за изтегляне на информация от хакнати системи, затрудняване на проследяването при нападения, разпространение на злонамерен софтуер сред потребителите на Discord или препродажба на премиум акаунти.
Пакетите wafer-bind, wafer-autocomplete, wafer-beacon, wafer-caas, wafer-toggle, wafer-geolocation, wafer-image, wafer-form, wafer-lightbox, octavius-public и mrg-message-broker включваха код за изпращане на съдържанието на променливи среди, които, например, можеха да включват секретни ключове, токени или пароли за системи за непрекъсната интеграция или облачни среди, като AWS.
Източник: opennet.ru
