В NPM са идентифицирани 15 хиляди пакета за фишинг и спам

Зафиксирана атака срещу потребители на каталога NPM, в резултат на която на 20 февруари в репозитория NPM бе публикувана над 15 хиляди пакета, в README файловете на които имаше линкове към фалшиви сайтове или реферални линкове, за преминавания по които се изплащат комисиони. При анализа в пакетите бяха открити 190 уникални фалшиви или рекламни линкове, обхващащи 31 домейн.

Имената на пакетите бяха избрани, за да привлекат интереса на обикновените потребители, например, „free-tiktok-followers“, „free-xbox-codes“, „instagram-followers-free“ и т.н. Разчетът беше направен за запълване на списъка с нови актуализации на главната страница на NPM със спам пакетите. В описанието на пакетите се съдържаха линкове, обещаващи безплатни раздавания, подаръци, игрови трикове, а също така безплатни услуги за увеличаване на последователи и харесвания в социални мрежи като TikTok и Instagram. Това не е първата подобна атака, през декември в каталогите NuGet, NPM и PyPi бе регистрирана публикация на 144 хиляди спам пакета.

Съдържанието на пакетите беше генерирано автоматично с помощта на python-скрипт, който явно по недоглеждане бе оставен в пакетите и включваше работни идентификационни данни, използвани по време на атаката. Пакетите бяха публикувани под множество различни акаунти, използвайки методи, затрудняващи проследяването на следите и бързата идентификация на проблемните пакети.

Освен измамни действия в репозиториите NPM и PyPi бяха установени и няколко опита за публикуване на злонамерени пакети:

• В репозиториума PyPI са открити 451 злонамерен пакет, който се маскира под някои популярни библиотеки с помощта на тайпсквотинг (назначаване на подобни имена, различаващи се с отделни символи, например, vper вместо vyper, bitcoinnlib вместо bitcoinlib, ccryptofeed вместо cryptofeed, ccxtt вместо ccxt, cryptocommpare вместо cryptocompare, seleium вместо selenium, pinstaller вместо pyinstaller и т.н.). Пакетите включваха обфусциран код за кражба на криптовалута, който определяше наличие на идентификатори на криптокошелките в буфера за обмен и ги заменяше с кошелека на нападателя (предполага се, че при извършване на плащане, жертвата няма да забележи, че пренесеният чрез буфера за обмен номер е различен). Подмяната се правеше от вградена в браузъра добавка, която се изпълняваше в контекста на всяка посещавана уеб страница.
• В репозиториума PyPI е установена серия от злонамерени HTTP-библиотеки. Злонамерената активност е открита в 41 пакета, имена на които са избрани с помощта на методи за тайпсквотинг и наподобяват популярни библиотеки (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 и т.н.). Съдържанието е стилизирано да наподобява работещи HTTP-библиотеки или копира код от съществуващи библиотеки, а в описанието са представени твърдения за предимства и сравнения с легитимни HTTP-библиотеки. Злонамерената активност се състои или в изтегляне на злонамерен софтуер на системата, или в събиране и изпращане на конфиденциални данни.
• В NPM са открити 16 JavaScript пакета (speedte*, trova*, lagra), които освен декларираната функционалност (тест за пропускна способност) също съдържаха код за добив на криптовалута без знанието на потребителя.
• В NPM са идентифицирани 691 злонамерен пакет. По-голямата част от проблемните пакети се представят за проекти на Yandex (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms и т.н.) и включват код за изпращане на конфиденциална информация на външни. сървъри. Предполага се, че разпространителите на пакетите са се опитвали да постигнат подмяна на собствената зависимост при събиране на проекти в Yandex (метод на подмяна на вътрешни зависимости). В репозиториума PyPI същите изследователи са открили 49 пакета (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp и т.н.) с обфускиран злонамерен код, изтеглящ и изпълняващ изпълняем файл от външен. сървър.

Източник: opennet.ru