Зловреден софтуер, инжектиран в UAParser.js NPM пакет с 8 милиона изтегляния на седмица

Историята с премахването от хранилището на NPM на три злонамерени пакета, които копираха кода на библиотеката UAParser.js, получи неочаквано продължение - неизвестни нападатели завладяха акаунта на автора на проекта UAParser.js и пуснаха актуализации, съдържащи код за кражба на пароли и копаене на криптовалути.

Проблемът е, че библиотеката UAParser.js, която предлага функции за парсване на HTTP хедъра на User-Agent, има около 8 милиона изтегляния на седмица и се използва като зависимост в повече от 1200 проекта. Посочва се, че UAParser.js се използва в проекти на компании като Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP и Verison .

Атаката беше извършена чрез хакване на акаунта на разработчика на проекта, който разбра, че нещо не е наред, след като в пощенската му кутия падна необичайна вълна от спам. Не се съобщава как точно е бил хакнат акаунтът на разработчика. Нападателите създадоха издания 0.7.29, 0.8.0 и 1.0.0, въвеждайки злонамерен код в тях. В рамките на няколко часа разработчиците си върнаха контрола над проекта и създадоха актуализации 0.7.30, 0.8.1 и 1.0.1, за да коригират проблема. Злонамерените версии бяха публикувани само като пакети в хранилището на NPM. Git хранилището на проекта в GitHub не беше засегнато. Всички потребители, които са инсталирали проблемни версии, ако намерят файла jsextension на Linux/macOS и файловете jsextension.exe и create.dll на Windows, се съветват да считат системата за компрометирана.

Добавените злонамерени промени напомняха на промени, предложени по-рано в клонинги на UAParser.js, които изглежда бяха пуснати, за да тестват функционалността, преди да започнат мащабна атака срещу основния проект. Изпълнимият файл jsextension беше изтеглен и стартиран в системата на потребителя от външен хост, който беше избран в зависимост от платформата на потребителя и поддържаната работа на Linux, macOS и Windows. За платформата Windows, в допълнение към програмата за копаене на криптовалутата Monero (използван е миньорът XMRig), нападателите организираха и въвеждането на библиотеката create.dll за прихващане на пароли и изпращането им на външен хост.

Кодът за изтегляне беше добавен към файла preinstall.sh, в който вмъкнете IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') if [ -z " $ IP" ] ... изтеглете и стартирайте изпълнимия файл fi

Както се вижда от кода, скриптът първо проверява IP адреса в услугата freegeoip.app и не стартира злонамерено приложение за потребители от Русия, Украйна, Беларус и Казахстан.

Източник: opennet.ru