NPM открива 15 XNUMX фишинг и спам пакета

Беше регистрирана атака срещу потребители на директорията на NPM, в резултат на което на 20 февруари в хранилището на NPM бяха публикувани повече от 15 хиляди пакета, чиито файлове README съдържаха връзки към фишинг сайтове или препращащи връзки за кликвания върху кои възнаграждения са платени. По време на анализа в пакетите са идентифицирани 190 уникални фишинг или рекламни връзки, обхващащи 31 домейна.

Имената на пакетите са избрани, за да привлекат интереса на обикновените хора, например „free-tiktok-followers“, „free-xbox-codes“, „instagram-followers-free“ и т.н. Изчислението е направено, за да се запълни списъкът с последните актуализации на главната страница на NPM с пакети за спам. Описанията на пакетите включваха връзки, които обещаваха безплатни раздавания, подаръци, мами за игри, както и безплатни услуги за увеличаване на последователите и харесванията в социални мрежи като TikTok и Instagram. Това не е първата подобна атака, през декември беше регистрирано публикуването на 144 хиляди спам пакета в директориите NuGet, NPM и PyPi.

Съдържанието на пакетите беше автоматично генерирано с помощта на скрипт на Python, който очевидно беше оставен по невнимание в пакетите и включваше работните идентификационни данни, използвани при атаката. Пакетите бяха публикувани под много различни акаунти, използвайки методи, които затрудняваха разплитането на следите и бързото идентифициране на проблемните пакети.

В допълнение към измамни дейности, няколко опита за публикуване на злонамерени пакети също бяха открити в хранилищата на NPM и PyPi:

• 451 злонамерени пакета бяха открити в хранилището на PyPI, които се маскираха като някои популярни библиотеки, използвайки typequatting (присвояване на подобни имена, които се различават по отделни знаци, например vper вместо vyper, bitcoinnlib вместо bitcoinlib, ccryptofeed вместо cryptofeed, ccxtt вместо ccxt, cryptocommpare вместо cryptocompare, seleium вместо selenium, pinstaller вместо pyinstaller и т.н.). Пакетите включват обфусциран код за кражба на криптовалута, който открива наличието на идентификатори на крипто портфейла в клипборда и ги променя в портфейла на атакуващия (предполага се, че когато извършва плащане, жертвата няма да забележи, че номерът на портфейла, прехвърлен през клипборда е различен). Заместването е извършено от добавка за браузър, която се изпълнява в контекста на всяка прегледана уеб страница.
• Серия от злонамерени HTTP библиотеки са идентифицирани в хранилището на PyPI. Злонамерена активност беше открита в 41 пакета, чиито имена бяха избрани с помощта на методи за типове и наподобяваха популярни библиотеки (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 и др.). Пълнежът беше оформен така, че да прилича на работещи HTTP библиотеки или да копира кода на съществуващи библиотеки, а описанието включваше твърдения за предимствата и сравнения с легитимни HTTP библиотеки. Злонамерената дейност се състои или в изтегляне на зловреден софтуер в системата, или в събиране и изпращане на чувствителни данни.
• NPM идентифицира 16 JavaScript пакета (speedte*, trova*, lagra), които в допълнение към посочената функционалност (тестване на пропускателна способност) също съдържат код за копаене на криптовалута без знанието на потребителя.
• NPM идентифицира 691 злонамерени пакета. Повечето от проблемните пакети се представяха за проекти на Yandex (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms и др.) и включваха код за изпращане на поверителна информация към външни сървъри. Предполага се, че тези, които са публикували пакетите, са се опитвали да постигнат замяна на собствената си зависимост при сглобяване на проекти в Yandex (метод за замяна на вътрешни зависимости). В хранилището на PyPI същите изследователи откриха 49 пакета (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp и т.н.) с обфускиран зловреден код, който изтегля и изпълнява изпълним файл от външен сървър.

Източник: opennet.ru