Útočníkům se podařilo získat kontrolu nad NPM balíčkem coa a vydat aktualizace 2.0.3, 2.0.4, 2.1.1, 2.1.3 a 3.1.3, které obsahují škodlivé úpravy. Balíček coa, který poskytuje funkce pro parsování příkazových argumentů, má přibližně 9 milionů stahování týdně a je používán jako závislost u 159 dalších NPM balíčků, včetně react-scripts a vue/cli-service. Správa NPM již odstranila vydání se škodlivými změnami a zablokovala publikaci nových verzí do doby, než bude obnoven přístup k repozitáři hlavního vývojáře.
Útok byl proveden skrze kompromitaci účtu vývojáře projektu. Přidané škodlivé změny jsou podobné těm, které byly použity při útoku na uživatele NPM balíčku UAParser.js před dvěma týdny, ale byly zaměřeny pouze na platformu Windows (v balíčcích pro Linux a macOS byly ponechány prázdné zástupce). Na systém uživatele byl z externího hostitele stažen a spuštěn spustitelný soubor pro cryptomining Monero (byl použit miner XMRig) a byla nainstalována knihovna pro odchytávání hesel.
Při vytváření balíčku se škodlivým kódem došlo k chybě, která způsobila selhání při instalaci balíčku, a proto byla chyba rychle odhalena a šíření škodlivé aktualizace bylo na začátku zablokováno. Uživatel by se měl ujistit, že má nainstalovanou verzi coa 2.0.2 a doporučuje se přidat do package.json svých projektů vazbu na funkční verzi pro případ opětovné kompromitace. npm a yarn: „resolutions“: { „coa“: „2.0.2“ }, pnpm: „pnpm“: { „overrides“: { „coa“: „2.0.2“ } },
Zdroj: opennet.ru
