Π’ NPM-ΠΏΠ°ΠΊΠ΅Ρ‚ UAParser.js, Π½Π°ΡΡ‡ΠΈΡ‚Ρ‹Π²Π°ΡŽΡ‰ΠΈΠΉ 8 ΠΌΠ»Π½ Π·Π°Π³Ρ€ΡƒΠ·ΠΎΠΊ Π² нСдСлю, Π²Π½Π΅Π΄Ρ€Π΅Π½ΠΎ врСдоносноС ПО

Π˜ΡΡ‚ΠΎΡ€ΠΈΡ с ΡƒΠ΄Π°Π»Π΅Π½ΠΈΠ΅ΠΌ ΠΈΠ· рСпозитория NPM Ρ‚Ρ€Ρ‘Ρ… врСдоносных ΠΏΠ°ΠΊΠ΅Ρ‚ΠΎΠ², ΠΊΠΎΠΏΠΈΡ€ΠΎΠ²Π°Π²ΡˆΠΈΡ… ΠΊΠΎΠ΄ Π±ΠΈΠ±Π»ΠΈΠΎΡ‚Π΅ΠΊΠΈ UAParser.js, ΠΏΠΎΠ»ΡƒΡ‡ΠΈΠ»Π° Π½Π΅ΠΎΠΆΠΈΠ΄Π°Π½Π½ΠΎΠ΅ ΠΏΡ€ΠΎΠ΄ΠΎΠ»ΠΆΠ΅Π½ΠΈΠ΅ — нСизвСстныС Π·Π»ΠΎΡƒΠΌΡ‹ΡˆΠ»Π΅Π½Π½ΠΈΠΊΠΈ Π·Π°Ρ…Π²Π°Ρ‚ΠΈΠ»ΠΈ ΠΊΠΎΠ½Ρ‚Ρ€ΠΎΠ»ΡŒ Π½Π°Π΄ ΡƒΡ‡Ρ‘Ρ‚Π½ΠΎΠΉ записью Π°Π²Ρ‚ΠΎΡ€Π° ΠΏΡ€ΠΎΠ΅ΠΊΡ‚Π° UAParser.js ΠΈ выпустили обновлСния, содСрТащиС ΠΊΠΎΠ΄ для ΠΊΡ€Π°ΠΆΠΈ ΠΏΠ°Ρ€ΠΎΠ»Π΅ΠΉ ΠΈ ΠΌΠ°ΠΉΠ½ΠΈΠ½Π³Π° ΠΊΡ€ΠΈΠΏΡ‚ΠΎΠ²Π°Π»ΡŽΡ‚.

ΠŸΡ€ΠΎΠ±Π»Π΅ΠΌΠ° Π² Ρ‚ΠΎΠΌ, Ρ‡Ρ‚ΠΎ Π±ΠΈΠ±Π»ΠΈΠΎΡ‚Π΅ΠΊΠ° UAParser.js, которая ΠΏΡ€Π΅Π΄Π»Π°Π³Π°Π΅Ρ‚ Ρ„ΡƒΠ½ΠΊΡ†ΠΈΠΈ для Ρ€Π°Π·Π±ΠΎΡ€Π° HTTP-Π·Π°Π³ΠΎΠ»ΠΎΠ²ΠΊΠ° User-Agent, насчитываСт ΠΎΠΊΠΎΠ»ΠΎ 8 ΠΌΠ»Π½ Π·Π°Π³Ρ€ΡƒΠ·ΠΎΠΊ Π² нСдСлю ΠΈ ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΠ΅Ρ‚ΡΡ Π² качСствС зависимости Π² Π±ΠΎΠ»Π΅Π΅ Ρ‡Π΅ΠΌ 1200 ΠΏΡ€ΠΎΠ΅ΠΊΡ‚Π°Ρ…. ЗаявлСно, Ρ‡Ρ‚ΠΎ UAParser.js примСняСтся Π² ΠΏΡ€ΠΎΠ΅ΠΊΡ‚Π°Ρ… Ρ‚Π°ΠΊΠΈΡ… ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΉ, ΠΊΠ°ΠΊ Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP ΠΈ Verison.

Атака Π±Ρ‹Π»Π° ΡΠΎΠ²Π΅Ρ€ΡˆΠ΅Π½Π° Ρ‡Π΅Ρ€Π΅Π· Π²Π·Π»ΠΎΠΌ ΡƒΡ‡Ρ‘Ρ‚Π½ΠΎΠΉ записи Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠ° ΠΏΡ€ΠΎΠ΅ΠΊΡ‚Π°, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ понял Ρ‡Ρ‚ΠΎ-Ρ‚ΠΎ Π½Π΅ Ρ‚Π°ΠΊ послС Π½Π΅ΠΎΠ±Ρ‹Ρ‡Π½ΠΎΠΉ Π²ΠΎΠ»Π½Ρ‹ спама, свалившСйся Π² Π΅Π³ΠΎ ΠΏΠΎΡ‡Ρ‚ΠΎΠ²Ρ‹ΠΉ ящик. Как ΠΈΠΌΠ΅Π½Π½ΠΎ Π±Ρ‹Π»Π° Π²Π·Π»ΠΎΠΌΠ°Π½Π° учётная запись Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠ° Π½Π΅ сообщаСтся. ΠΡ‚Π°ΠΊΡƒΡŽΡ‰ΠΈΠ΅ сформировали выпуски 0.7.29, 0.8.0 ΠΈ 1.0.0, Π²Π½Π΅Π΄Ρ€ΠΈΠ² Π² Π½ΠΈΡ… врСдоносный ΠΊΠΎΠ΄. Π’ Ρ‚Π΅Ρ‡Π΅Π½ΠΈΠ΅ Π½Π΅ΡΠΊΠΎΠ»ΡŒΠΊΠΈΡ… часов Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠΈ Π²Π΅Ρ€Π½ΡƒΠ»ΠΈ ΠΊΠΎΠ½Ρ‚Ρ€ΠΎΠ»ΡŒ Π½Π°Π΄ ΠΏΡ€ΠΎΠ΅ΠΊΡ‚ΠΎΠΌ ΠΈ сформировали обновлСния 0.7.30, 0.8.1 ΠΈ 1.0.1 c устранСниСм ΠΏΡ€ΠΎΠ±Π»Π΅ΠΌΡ‹. ВрСдоносныС вСрсии Π±Ρ‹Π»ΠΈ ΠΎΠΏΡƒΠ±Π»ΠΈΠΊΠΎΠ²Π°Π½Ρ‹ Ρ‚ΠΎΠ»ΡŒΠΊΠΎ Π² Π²ΠΈΠ΄Π΅ ΠΏΠ°ΠΊΠ΅Ρ‚ΠΎΠ² Π² NPM-Ρ€Π΅ΠΏΠΎΠ·ΠΈΡ‚ΠΎΡ€ΠΈΠΈ. Git-Ρ€Π΅ΠΏΠΎΠ·ΠΈΡ‚ΠΎΡ€ΠΈΠΉ ΠΏΡ€ΠΎΠ΅ΠΊΡ‚Π° Π½Π° GitHub Π½Π΅ пострадал. ВсСм ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»ΡΠΌ, ΡƒΡΡ‚Π°Π½ΠΎΠ²ΠΈΠ²ΡˆΠΈΠΌ ΠΏΡ€ΠΎΠ±Π»Π΅ΠΌΠ½Ρ‹Π΅ вСрсии, ΠΏΡ€ΠΈ ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠ΅Π½ΠΈΠΈ Π² Linux/macOS Ρ„Π°ΠΉΠ»Π° jsextension, Π° Π² Windows Ρ„Π°ΠΉΠ»ΠΎΠ² jsextension.exe ΠΈ create.dll, рСкомСндуСтся ΡΡ‡ΠΈΡ‚Π°Ρ‚ΡŒ систСму скомпромСтированной.

Π”ΠΎΠ±Π°Π²Π»Π΅Π½Π½Ρ‹Π΅ врСдоносныС измСнСния Π½Π°ΠΏΠΎΠΌΠΈΠ½Π°Π»ΠΈ измСнСния, Ρ€Π°Π½Π΅Π΅ ΠΏΡ€Π΅Π΄Π»ΠΎΠΆΠ΅Π½Π½Ρ‹Π΅ Π² ΠΊΠ»ΠΎΠ½Π°Ρ… UAParser.js, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹Π΅, судя ΠΏΠΎ всСму, Π±Ρ‹Π»ΠΈ Π²Ρ‹ΠΏΡƒΡ‰Π΅Π½Ρ‹ для тСстирования Ρ„ΡƒΠ½ΠΊΡ†ΠΈΠΎΠ½Π°Π»ΡŒΠ½ΠΎΡΡ‚ΠΈ ΠΏΠ΅Ρ€Π΅Π΄ ΡΠΎΠ²Π΅Ρ€ΡˆΠ΅Π½ΠΈΠ΅ΠΌ ΡˆΠΈΡ€ΠΎΠΊΠΎΠΌΠ°ΡΡˆΡ‚Π°Π±Π½ΠΎΠΉ Π°Ρ‚Π°ΠΊΠΈ Π½Π° основной ΠΏΡ€ΠΎΠ΅ΠΊΡ‚. На систСму ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»Ρ с внСшнСго хоста загруТался ΠΈ запускался исполняСмый Ρ„Π°ΠΉΠ» jsextension, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ выбирался Π² зависимости ΠΎΡ‚ ΠΏΠ»Π°Ρ‚Ρ„ΠΎΡ€ΠΌΡ‹ ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»Ρ ΠΈ ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΈΠ²Π°Π» Ρ€Π°Π±ΠΎΡ‚Ρƒ Π² Linux, macOS ΠΈ Windows. Для ΠΏΠ»Π°Ρ‚Ρ„ΠΎΡ€ΠΌΡ‹ Windows ΠΏΠΎΠΌΠΈΠΌΠΎ ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹ для ΠΌΠ°ΠΉΠ½ΠΈΠ½Π³Π° ΠΊΡ€ΠΈΠΏΡ‚ΠΎΠ²Π°Π»ΡŽΡ‚Ρ‹ Monero (использовался ΠΌΠ°ΠΉΠ½Π΅Ρ€ XMRig) Π·Π»ΠΎΡƒΠΌΡ‹ΡˆΠ»Π΅Π½Π½ΠΈΠΊΠ°ΠΌΠΈ Ρ‚Π°ΠΊΠΆΠ΅ Π±Ρ‹Π»ΠΎ ΠΎΡ€Π³Π°Π½ΠΈΠ·ΠΎΠ²Π°Π½ΠΎ Π²Π½Π΅Π΄Ρ€Π΅Π½ΠΈΠ΅ Π±ΠΈΠ±Π»ΠΈΠΎΡ‚Π΅ΠΊΠΈ create.dll для ΠΏΠ΅Ρ€Π΅Ρ…Π²Π°Ρ‚Π° ΠΏΠ°Ρ€ΠΎΠ»Π΅ΠΉ ΠΈ ΠΈΡ… ΠΎΡ‚ΠΏΡ€Π°Π²ΠΊΠΈ Π½Π° внСшний хост.

Код для Π·Π°Π³Ρ€ΡƒΠ·ΠΊΠΈ Π±Ρ‹Π» Π΄ΠΎΠ±Π°Π²Π»Π΅Π½ Π² Ρ„Π°ΠΉΠ» preinstall.sh, Π² ΠΊΠΎΡ‚ΠΎΡ€ΠΎΠΌ появилась вставка IP=$(curl -k https://freegeoip.app/xml/ | grep ‘RU|UA|BY|KZ’) if [ -z «$IP» ] … Π·Π°Π³Ρ€ΡƒΠ·ΠΊΠ° ΠΈ запуск исполняСмого Ρ„Π°ΠΉΠ»Π° fi

Как Π²ΠΈΠ΄Π½ΠΎ ΠΈΠ· ΠΊΠΎΠ΄Π°, скрипт Π²Π½Π°Ρ‡Π°Π»Π΅ провСрял IP-адрСс Π² сСрвисС freegeoip.app ΠΈ Π½Π΅ запускал врСдоносноС ΠΏΡ€ΠΈΠ»ΠΎΠΆΠ΅Π½ΠΈΠ΅ для ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»Π΅ΠΉ ΠΈΠ· России, Π£ΠΊΡ€Π°ΠΈΠ½Ρ‹, БСларуси ΠΈ ΠšΠ°Π·Π°Ρ…ΡΡ‚Π°Π½Π°.

Π˜ΡΡ‚ΠΎΡ‡Π½ΠΈΠΊ: opennet.ru