Historien om fjernelsen af tre ondsindede pakker fra NPM-repositoriet, der kopierede koden fra biblioteket UAParser.js, fik en uventet fortsættelse – ukendte angribere tog kontrol over forfatterens konto til UAParser.js projektet og udgav opdateringer, der indeholdt kode til at stjæle adgangskoder og mine kryptovaluta.
Problemet er, at biblioteket UAParser.js, som tilbyder funktioner til at analysere HTTP-overskriften User-Agent, har omkring 8 millioner downloads om ugen og bruges som afhængighed i mere end 1200 projekter. UAParser.js anvendes angiveligt i projekter fra virksomheder som Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP og Verison.
Angrebet blev udført ved at hacke udviklerens konto, der indså, at noget var galt efter en usædvanlig mængde spam, der strømmede ind i hans indbakke. Det er ikke oplyst, hvordan udviklerens konto blev hacket. Angriberne udsendte versionerne 0.7.29, 0.8.0 og 1.0.0, hvori den ondsindede kode var indbygget. Inden for få timer genvandt udviklerne kontrollen over projektet og udgav opdateringerne 0.7.30, 0.8.1 og 1.0.1 for at løse problemet. De ondsindede versioner blev kun offentliggjort som pakker i NPM-repositoriet. Git-repositoriet for projektet på GitHub blev ikke ramt. Alle brugere, der har installeret de problematiske versioner, anbefales at betragte systemet som kompromitteret, hvis de opdager jsextension-filer i Linux/macOS og jsextension.exe eller create.dll i Windows.
De tilføjede ondsindede ændringer mindede om ændringer, der tidligere var foreslået i kloner af UAParser.js, som tilsyneladende blev offentliggjort for at teste funktionaliteten før et stort angreb på hovedprojektet. En eksekverbar fil, jsextension, blev downloadet og kørt på brugersystemet fra en ekstern vært, som blev valgt afhængigt af brugerens platform og understøttede drift i Linux, macOS og Windows. For Windows-platformen blev der udover programmet til mining af kryptovalutaen Monero (XMRig blev brugt) også integreret biblioteket create.dll for at opsnappe adgangskoder og sende dem til en ekstern vært.
Koden til download er blevet tilføjet i filen preinstall.sh, hvor der er blevet indsættelse IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') if [ -z "$IP" ] … download og start af eksekverbar fil fi
Som det fremgår af koden, kontrollerede scriptet først IP-adressen i tjenesten freegeoip.app og startede ikke det skadelige program for brugere fra Rusland, Ukraine, Hviderusland og Kasakhstan.
Kilde: opennet.ru
