Angreifern ist es gelungen, die Kontrolle über das NPM-Paket coa zu übernehmen und die Versionen 2.0.3, 2.0.4, 2.1.1, 2.1.3 und 3.1.3 mit schädlichen Änderungen zu veröffentlichen. Das Paket coa, das Funktionen zum Parsen von Kommandozeilenargumenten bereitstellt, verzeichnet etwa 9 Millionen Downloads pro Woche und wird als Abhängigkeit in 159 anderen NPM-Paketen verwendet, einschließlich react-scripts und vue/cli-service. Die NPM-Administratoren haben bereits die Version mit schädlichen Änderungen entfernt und die Veröffentlichung neuer Versionen gesperrt, bis der Zugriff auf das Repository des Hauptentwicklers wiederhergestellt ist.
Der Angriff wurde durch einen unerlaubten Zugriff auf das Entwicklerkonto des Projekts durchgeführt. Die hinzugefügten schädlichen Änderungen ähneln denen, die vor zwei Wochen in einem Angriff auf Benutzer des NPM-Pakets UAParser.js verwendet wurden, beschränkten sich jedoch nur auf die Windows-Plattform (in den Download-Blöcken für Linux und macOS wurden leere Platzhalter hinterlassen). Ein ausführbares File wurde von einem externen Host in das System des Benutzers hochgeladen und ausgeführt, um Monero-Kryptowährungen zu minen (der XMRig-Miner wurde verwendet) und eine Bibliothek zur Passwortüberwachung zu installieren.
Bei der Erstellung des Pakets mit schädlichem Code wurde ein Fehler festgestellt, der zu einem Absturz bei der Installation des Pakets führte. Daher wurde das Problem schnell identifiziert und die Verbreitung des schädlichen Updates in einem frühen Stadium blockiert. Der Benutzer sollte sicherstellen, dass die Version coa 2.0.2 installiert ist, und es ist ratsam, in der package.json seiner Projekte einen Verweis auf die stabile Version hinzuzufügen, um eine erneute Kompromittierung zu vermeiden. npm und yarn: „resolutions“: { „coa“: „2.0.2“ }, pnpm: „pnpm“: { „overrides“: { „coa“: „2.0.2“ } },
Quelle: opennet.ru
