В репозитория NPM бяха открити четири пакета, които предават данни за потребителя.

В хранилище NPM е открита вредоносна активност в четири пакета, включващи preinstall скрипт, който преди инсталирането на пакета изпращал на GitHub коментар с информация за IP адреса, местоположението, логина, модела на CPU и домашната директория на потребителя. Вредоносният код е открит в пакетите electorn (255 изтегляния), lodashs (78 изтегляния), loadyaml (48 изтегляния) и loadyml (37 изтегляния).

Проблемните пакети са били публикувани в NPM от 17 до 24 август за разпространение с използване на тайпсквотинг, т.е. с назначаване на имена, подобни на названията на други популярни библиотеки с надеждата, че потребителят ще направи печатна грешка при въвеждането на името или няма да забележи разликите, избирайки модул от списъка. Съдейки по броя на изтеглянията, около 400 потребители са били хванати в този трик, от които повечето са объркали electorn с electron. В момента пакетите electorn и loadyaml вече премахнати са блокирани от администрацията на NPM, докато пакетите lodashs и loadyml са били изтрити от автора.

Мотивите на извършителите остават неизвестни, но се предполага, че изтичането на информация чрез GitHub (коментарът е бил изпратен чрез Issue и в рамките на един ден е бил изтрит) е могло да бъде извършено в хода на експеримент за оценка на ефективността на метода или е била планирана атака в няколко етапа, като на първия етап е събирана информация за жертвите, а на втория, който не е бил реализиран поради блокиране, извършителите възнамерявали да пуснат обновление с включен в новото издание по-опасен вредоносен код или бекдор.

Източник: opennet.ru