Четири пакета, идентифицирани в хранилището на NPM, препращащи потребителски данни

В хранилището на NPM идентифицирани злонамерена дейност в четири пакета, включително предварително инсталиран скрипт, който, преди да инсталира пакета, изпрати коментар до GitHub с информация за IP адреса на потребителя, местоположението, данните за вход, модела на процесора и домашната директория. Открит е зловреден код в пакети електорен (255 изтегляния), лодаши (78 изтегляния), loadyaml (48 изтегляния) и loadyml (37 изтегляния).

Пакетите с проблеми бяха публикувани в NPM от 17 август до 24 август за разпространение типскуотинг, т.е. с присвояване на имена, подобни на имената на други популярни библиотеки, с очакването, че потребителят ще направи печатна грешка при въвеждане на името или няма да забележи разликите при избор на модул от списъка. Съдейки по броя на изтеглянията, около 400 потребители паднаха на този трик, повечето от които объркаха електор с електрон. В момента пакетите elector и loadyaml вече премахнати от администрацията на NPM, а пакетите lodash и loadyml бяха премахнати от автора.

Мотивите на нападателите са неизвестни, но се предполага, че изтичането на информация през GitHub (коментарът е изпратен през Issue и е изтрит в рамките на XNUMX часа) може да е извършено по време на експеримент за оценка на ефективността на метода или атаката беше планирана на няколко етапа, на първия от които бяха събрани данни за жертвите, а на втория, който не беше реализиран поради блокиране, нападателите възнамеряваха да пуснат актуализация, която да включва по-опасен злонамерен код или задна вратичка в новата версия.

Източник: opennet.ru