В NPM са установени 15 хиляди пакета за фишинг и спам

Регистрирана атака върху потребителите на каталога NPM, в резултат на която на 20 февруари в хранилището NPM бяха публикувани над 15 хиляди пакета, в README файловете на които имаше линкове към фалшиви сайтове или реферални линкове, за които се изплащат комисионни. При анализа на пакетите бяха открити 190 уникални фишинг или рекламни линкове, обхващащи 31 домейн.

Имената на пакетите бяха избрани с цел да предизвикат интерес у обикновените потребители, например „free-tiktok-followers“, „free-xbox-codes“, „instagram-followers-free“ и т.н. Изчисляваше се запълването на списъка с последни актуализации на главната страница на NPM със спам-пакети. В описанията на пакетите бяха включени линкове, обещаващи безплатни раздачи, подаръци, игрови читове, както и безплатни услуги за увеличаване на последователи и харесвания в социални мрежи, като TikTok и Instagram. Това не е първата такава атака, през декември в каталогите NuGet, NPM и PyPi бяха регистрирани публикации на 144 хиляди спам-пакета.

Съдържанието на пакетите беше генерирано автоматично с помощта на python скрипт, който явно по невнимание беше оставен в пакетите и включваше работни идентификационни данни, използвани по време на атаката. Пакетите бяха публикувани под множество различни акаунти, използвайки методи, които затрудняват проследяването на следите и бързата идентификация на проблемните пакети.

Освен мошеническите действия в хранилищата NPM и PyPi бяха идентифицирани и няколко опита за публикуване на злонамерени пакети:

• В репозиторий PyPI бяха открити 451 злонамерен пакет, който маскирал себе си като някои популярни библиотеки чрез тайпсквотинг (използването на подобни имена, различаващи се с отделни символи, например, vper вместо vyper, bitcoinnlib вместо bitcoinlib, ccryptofeed вместо cryptofeed, ccxtt вместо ccxt, cryptocommpare вместо cryptocompare, seleium вместо selenium, pinstaller вместо pyinstaller и т.н.). Пакетите включвали обфускиран код за кражба на криптовалути, който определял наличието на идентификатори на криптокошелци в буфера за обмен и ги сменял с тези на злонамеренец (предполага се, че при извършване на плащането, жертвата няма да забележи, че прехвърленият номер на кошелька е различен). Подмяната се извършваше от вградения в браузъра модул, работещ в контекста на всяка посещавана уеб страница.
• В репозиторий PyPI беше открита серия злонамерени HTTP-библиотеки. Злонамерената активност бе намерена в 41 пакета, имената на които бяха избрани с методи на тайпсквотинг и наподобяваха популярни библиотеки (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 и т.н.). Съдържанието бе стилизирано да изглежда като работещи HTTP-библиотеки или да копира кода на съществуващи библиотеки, а в описанието се предоставяха предимства и сравнения с легитимни HTTP библиотеки. Злонамерената активност се състоеше или в инсталиране на злонамерен софтуер на системата, или в събиране и изпращане на конфиденциални данни.
• В NPM бяха открити 16 JavaScript пакета (speedte*, trova*, lagra), които освен заявената функционалност (тестиране на пропускната способност) също така съдържаха код за копаене на криптовалути без знанието на потребителя.
• В NPM бяха открити 691 злонамерен пакет. По-голямата част от проблемните пакети се престориха на проекти на Yandex (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms и т.н.) и включваха код за изпращане на конфиденциална информация на външни. сървъриПредполага се, че разположилите пакетите са се опитали да постигнат подмяна на собствена зависимост при изграждане на проекти в Yandex (метод за подмяна на вътрешни зависимости). В репозиторий PyPI същите изследователи открили 49 пакета (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp и т.н.) с обфускиран злонамерен код, който изтегля и стартира изпълним файл от външно. сървър.

Източник: opennet.ru