В репозитория NPM са открити четири пакета, които предават данни за потребителя

В репозиторийната NPM открита е вредна активност в четири пакета, които включват preinstall скрипт, който преди инсталацията на пакета изпращал коментар с информация за IP адреса, местоположението, потребителското име, модела на CPU и домашната директория на потребителя на GitHub. Вредният код бе открит в пакетите electorn (255 изтегляния), lodashs (78 изтегляния), loadyaml (48 изтегляния) и loadyml (37 изтегляния).

Проблематичните пакети бяха публикувани в NPM от 17 до 24 август с цел разпространение, използвайки тайпсквоттенг, т.е. със задаване на имена, подобни на имената на други известни библиотеки, разчитайки на това, че потребителят ще направи грешка при изписването на името или няма да забележи разликите, избирайки модул от списъка. Изхождайки от броя на изтеглянията, около 400 потребители се оказаха жертви на този трик, повечето от които объркаха electorn с electron. В момента пакети electorn и loadyaml вече бъдат премахнати са премахнати от администрацията на NPM, докато пакети lodashs и loadyml бяха изтрити от автора.

Мотивите на злонамерените лица не са известни, но се предполага, че изтичането на информация през GitHub (коментарът е изпратен чрез Issues и след едно денонощие е изтрит) може да е извършено в контекста на експеримент за оценка на ефективността на метода или е била планирана атака в няколко етапа, на първия от които са събирани данни за жертвите, а на втория, който не е реализиран поради блокировка, злонамерените лица са възнамерявали да публикуват актуализация с по-опасен вреден код или бекдор в новия си релиз.

Източник: opennet.ru