Фишингът позволи получаването на контрол над няколко популярни NPM пакета

Зафиксирана фишинг атака на JavaScript библиотеките, при която от името на NPM е разпратено съобщение, уведомяващо за необходимостта от потвърждаване на имейл адреса. Проведената атака е позволила на злонамерените лица да получат NPM токени на един от големите JavaScript проекти и да издадат обновления с злонамерен код за пет NPM пакета, който общо достига около 100 милиона сваляния седмично.

Изпратеното съобщение от поддръжката е стилизирано да изглежда като стандартните известия от NPM, изпратени от адреса „support@npmjs.org“, но като линк за прехвърляне е посочен домейнът „npnjs.com“ вместо „npmjs.com“ (третата буква „n“ вместо „m“). Нападателите са се възползвали от психо-логичния ефект, при който мозъкът, очаквайки очаквания резултат, не забелязва незначителни изкривявания, като замяна на букви с подобни или промяна на реда на буквите в думата. При кликване на линка се отвори пълна копия на сайта npmjs.com (вероятно е настроен прокси, който прихваща токена за достъп).

По време на атаката са генерирани нови версии на пакетите:

• eslint-config-prettier: 8.10.1, 9.1.1, 10.1.6, 10.1.7.
• eslint-plugin-prettier: 4.2.2, 4.2.3.
• synckit: 0.11.9.
• @pkgr/core: 0.2.8.
• napi-postinstall: 0.3.1.

В създадените версии е внесен злонамерен код за атака срещу потребителите, използващи платформата Windows. Внесените промени са заредили библиотеката node-gyp.dll, съдържаща функционалност за дистанционно изпълнение на команди в системата.

Съпровождащият е осъзнал, че е станал жертва на фишинг атака около час след получаването на първата жалба за публикуване на подозрителни версии. Той незабавно отзова токена за достъп, смени паролите и отбеляза проблемните версии за остарели, за да предотврати автоматичното им сваляне, и подаде заявка за премахване на проблемните версии от репозитория в службата за поддръжка на NPM.

Не се уточнява колко потребители са успели да изтеглят злонамерените версии (например, злонамерената версия на пакета eslint-plugin-prettier е останала в репозитория около два дни). През изминалата седмица пакетът eslint-config-prettier е регистрирал 30 милиона изтегляния и е използван като зависимост от 11762 пакета, пакетът eslint-plugin-prettier — 21 милиона изтегляния (8468 зависими пакета), synckit — 18 милиона, @pkgr/core — 16 милиона и napi-postinstall — 10 милиона.

Източник: opennet.ru