Im NPM-Repository wurden vier Pakete entdeckt, die Benutzerdaten übertragen.

Im NPM-Repository entdeckt wurden schädliche Aktivitäten in vier Paketen festgestellt, die ein Preinstall-Skript enthalten, das vor der Installation des Pakets einen Kommentar mit Informationen zur IP-Adresse, dem Standort, dem Benutzernamen, dem CPU-Modell und dem Home-Verzeichnis des Benutzers an GitHub sendete. Der schädliche Code wurde in den Paketen gefunden electorn (255 Downloads), lodashs (78 Downloads), loadyaml (48 Downloads) und loadyml (37 Downloads).

Die problematischen Pakete wurden vom 17. bis 24. August in NPM veröffentlicht, um sich mit Hilfe von Typ-Squatting, d.h. mit der Benennung ähnlich klingender Namen wie andere beliebte Bibliotheken, in der Annahme, dass Benutzer einen Tippfehler bei der Eingabe des Namens machen oder Unterschiede beim Auswählen eines Moduls aus der Liste nicht bemerken. Laut der Anzahl der Downloads sind etwa 400 Benutzer auf diesen Trick hereingefallen, von denen die meisten electorn mit electron verwechselt haben. Derzeit wurden die Pakete electorn und loadyaml bereits wurden entfernt von der NPM-Administration entfernt, während die Pakete lodashs und loadyml vom Autor gelöscht wurden.

Die Motive der Angreifer sind unbekannt, aber es wird vermutet, dass eine Datenleckage über GitHub (der Kommentar wurde über eine Issue gesendet und innerhalb von 24 Stunden gelöscht) möglicherweise als Experiment zur Bewertung der Effektivität der Methode durchgeführt wurde oder ein mehrstufiger Angriff geplant war, bei dem in der ersten Phase Daten über die Opfer gesammelt und in der zweiten Phase, die aufgrund einer Blockierung nicht umgesetzt wurde, ein Update mit der Integration eines gefährlicheren schädlichen Codes oder Backdoors herausgegeben werden sollte.

Quelle: opennet.ru