Angrebere har formået at få kontrol over NPM-pakken coa og udgive opdateringerne 2.0.3, 2.0.4, 2.1.1, 2.1.3 og 3.1.3, som indeholder skadelige ændringer. Pakken coa, der tilbyder funktioner til behandling af kommandolinjeargumenter, har omkring 9 millioner downloads om ugen og bruges som afhængighed af 159 andre NPM-pakker, herunder react-scripts og vue/cli-service. NPM-administrationen har allerede fjernet udgivelsen med skadelige ændringer og blokeret offentliggørelsen af nye versioner, indtil adgangen til hovedudviklerens repository er genoprettet.
Angrebet blev udført gennem hacking af udviklerens konto for projektet. De tilføjede skadelige ændringer ligner dem, der blev brugt i et angreb på brugere af NPM-pakken UAParser.js for to uger siden, men var kun rettet mod Windows-platformen (med tomme pladsholdere i downloadblokke for Linux og macOS). Et eksekverbart program til mining af kryptovalutaen Monero (XMRig-mineren blev brugt) blev downloadet og kørt på brugerens system fra en ekstern vært, og der blev installeret et bibliotek til at opsnappe adgangskoder.
Under oprettelsen af pakken med skadelig kode blev der lavet en fejl, der forårsagede en fejl ved installationen af pakken, hvilket betød, at problemet hurtigt blev identificeret, og spredningen af den skadelige opdatering blev blokeret tidligt. Brugeren bør sikre sig, at de har version 2.0.2 af coa installeret, og det anbefales at tilføje en binding til den fungerende version i deres projekts package.json i tilfælde af en gentagen kompromittering. npm og yarn: "resolutions": { "coa": "2.0.2" }, pnpm: "pnpm": { "overrides": { "coa": "2.0.2" } },
Kilde: opennet.ru
