Der NPM-repository har afsløret 17 ondsindede pakker, som blev distribueret ved hjælp af typosquatting, d.v.s. ved at give dem navne, der ligner navne på populære biblioteker med den beregning, at brugeren ville lave en tastefejl i indtastningen af navnet eller ikke ville bemærke forskellene, når de vælger en modul fra listen.
Pakkerne discord-selfbot-v14, discord-lofy, discordsystem og discord-vilao brugte en modificeret version af det legitime bibliotek discord.js, der tilbyder funktioner til interaktion med Discord API. De ondsindede komponenter blev integreret i en af pakke-filerne og omfattede omkring 4000 linjer kode, der var forviklet ved brug af navneskævhed, kryptering af strenge og kodeformatering. Koden scannede den lokale filsystem for tokens fra Discord og sendte dem, hvis de blev fundet til server kriminelle.
Pakke fix-error blev angivet som en fejlrettende løsning for Discord selfbot, men inkluderede et trojansk program, PirateStealer, der stjal kreditkortnumre og konti relateret til Discord. Den ondsindede komponent blev aktiveret gennem substitution af JavaScript-kode i Discord-klienten.
Pakke prerequests-xcode inkluderede en trojaner til at organisere fjernadgang til brugerens system, baseret på Python-programmet DiscordRAT.
Det antages, at hackere kunne have haft brug for adgang til Discord-servere for at implementere kontrolpunkter for botnets, som en proxy til at downloade information fra hackede systemer, for at forvirre sporene under angreb, sprede malware blandt Discord-brugere eller videresælge premium-konti.
Pakkerne wafer-bind, wafer-autocomplete, wafer-beacon, wafer-caas, wafer-toggle, wafer-geolocation, wafer-image, wafer-form, wafer-lightbox, octavius-public og mrg-message-broker inkluderede kode til at sende indholdet af miljøvariabler, som f.eks. kunne inkludere adgangsnøgler, tokens eller passwords til systemer med kontinuerlig integration eller cloud-miljøer såsom AWS.
Kilde: opennet.ru
