V repozitáři NPM bylo odhaleno 17 škodlivých balíčků, které se šířily pomocí typosquattingu, tj. přiřazením názvů podobných názvům populárních knihoven s předpokladem, že uživatel udělá chybu při zadávání názvu nebo si nevšimne rozdílů při výběru modulu ze seznamu.
Balíčky discord-selfbot-v14, discord-lofy, discordsystem a discord-vilao používaly modifikovanou verzi legitimní knihovny discord.js, která poskytuje funkce pro interakci s API Discordu. Škodlivé komponenty byly integrovány do jednoho z souborů balíčku a zahrnovaly přibližně 4000 řádků kódu, zamotaného pomocí záměny názvů proměnných, šifrování řetězců a narušení formátování kódu. Kód skenoval místní FS na přítomnost tokenů Discordu a v případě nalezení je odesílal na. server server útočníků.
Balíček fix-error byl deklarován jako opravující chyby v Discord selfbotech, ale zahrnoval trojského koně PirateStealer, který prováděl krádež čísel kreditních karet a účtů souvisejících s Discordem. Škodlivá komponenta byla aktivována zavedením JavaScriptového kódu do klienta Discordu.
Balíček prerequests-xcode zahrnoval trojského koně pro zajištění vzdáleného přístupu k systému uživatele, založeného na Python aplikaci DiscordRAT.
Předpokládá se, že přístup k serverům Discordu mohli útočníci potřebovat k nasazení řídících bodů botnetu, jako proxy pro stahování informací z hacknutých systémů, zamotávání stop při provádění útoků, šíření škodlivého softwaru mezi uživateli Discordu nebo přeprodeji prémiových účtů.
Balíčky wafer-bind, wafer-autocomplete, wafer-beacon, wafer-caas, wafer-toggle, wafer-geolocation, wafer-image, wafer-form, wafer-lightbox, octavius-public a mrg-message-broker zahrnovaly kód pro odesílání obsahu proměnných prostředí, které mohly obsahovat například přístupové klíče, tokeny nebo hesla k systémům kontinuální integrace nebo cloudovým prostředím, jako je AWS.
Zdroj: opennet.ru
