{"id":106945,"date":"2023-02-26T12:49:02","date_gmt":"2023-02-26T10:49:03","guid":{"rendered":"https:\/\/prohoster.info\/?p=106945"},"modified":"2023-02-27T12:02:06","modified_gmt":"2023-02-27T10:02:06","slug":"v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","title":{"rendered":"Der NPM har afd\u00e6kket 15.000 pakker til phishing og spam","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Der er registreret et angreb p\u00e5 brugere af NPM-kataloget, hvor der den 20. februar blev offentliggjort over 15.000 pakker i NPM-repositoriet, hvis README-filer indeholdt links til phishing-sider eller henvisningslinks, der gav bel\u00f8nninger for klik. Under analysen blev der fundet 190 unikke phishing- eller reklamelinks, der d\u00e6kkede 31 dom\u00e6ner. <\/p>\n
Pakkernes navne blev valgt for at tiltr\u00e6kke offentlighedens interesse, for eksempel «free-tiktok-followers» «free-xbox-codes», «instagram-followers-free» osv. Beregningen var baseret p\u00e5 at fylde spam-pakker ind i listen over seneste opdateringer p\u00e5 hovedsiden af NPM. I beskrivelserne af pakkerne blev der givet links, der lovede gratis giveaways, gaver, spilmuligheder, samt gratis tjenester til at f\u00e5 f\u00f8lgere og likes p\u00e5 sociale medier som TikTok og Instagram. Dette er ikke f\u00f8rste gang, en s\u00e5dan angreb er sket; i december blev der registreret offentligg\u00f8relse af 144.000 spam-pakker i katalogerne NuGet, NPM og PyPi.
<\/center> <\/p>\n
Indholdet af pakkerne blev automatisk genereret ved hj\u00e6lp af et python-script, som tilsyneladende ved en fejl blev efterladt i pakkerne og indeholdt fungerende loginoplysninger, der blev brugt under angrebet. Pakkerne blev udgivet under mange forskellige konti ved hj\u00e6lp af metoder, der gjorde det vanskeligere at spore sporene og hurtigt identificere problematiske pakker. <\/p>\n
Udover svigagtige handlinger i NPM og PyPi-repositorierne er der ogs\u00e5 blevet identificeret flere fors\u00f8g p\u00e5 at offentligg\u00f8re skadelige pakker: <\/p>\n
\n
I depoterer PyPI er der fundet 451 ondsindede pakker, der maskererede sig som nogle popul\u00e6re biblioteker ved hj\u00e6lp af type-squatting (navngivning af lignende navne, der adskiller sig med enkelte tegn, f.eks. vper i stedet for vyper, bitcoinnlib i stedet for bitcoinlib, ccryptofeed i stedet for cryptofeed, ccxtt i stedet for ccxt, cryptocommpare i stedet for cryptocompare, seleium i stedet for selenium, pinstaller i stedet for pyinstaller osv.). Pakkerne indeholdt obfuskeret kode til tyveri af kryptovaluta, der identificerede tilstedev\u00e6relsen af kryptovaluta-wallet-id'er i udklipsholderen og \u00e6ndrede dem til angriberens wallet (det antages, at offeret ikke vil bem\u00e6rke, at det overf\u00f8rte wallet-nummer adskiller sig ved betaling). Erstatningen blev udf\u00f8rt af et browserplugin, der blev udf\u00f8rt i konteksten af hver bes\u00f8gte webside.\n
I depoteret PyPI er der blevet identificeret en serie ondsindede HTTP-biblioteker. Ondsindet aktivitet blev fundet i 41 pakker, hvis navne blev valgt ved brug af metoder til type-squatting og mindede om popul\u00e6re biblioteker (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 osv.). Indholdet var styliseret som fungerende HTTP-biblioteker eller kopierede koden fra eksisterende biblioteker, og i beskrivelsen blev der givet p\u00e5stande om fordele og sammenligninger med legitime HTTP-biblioteker. Den ondsindede aktivitet bestod enten i at downloade malware til systemet eller indsamle og sende konfidensielle data.\n
I NPM er der blevet identificeret 16 JavaScript-pakker (speedte*, trova*, lagra), der udover den angivne funktionalitet (test af b\u00e5ndbredde) ogs\u00e5 indeholdt kode til minedrift af kryptovaluta uden brugerens viden.\n
![\"Der](\"\/wp-content\/uploads\/2023\/02\/434214f596ba6d4174a3f0a8eae982e4.jpg\")
<\/center> <\/p>\n