Im NPM-Repository wurden 17 bösartige Pakete entdeckt, die durch Typosquatting verbreitet wurden, d.h. sie trugen Namen, die Ă€hnlich wie die Titel beliebter Bibliotheken waren, in der Erwartung, dass der Benutzer einen Tippfehler machen oder Unterschiede bei der Auswahl eines Moduls aus einer Liste nicht bemerken wĂŒrde.
Die Pakete discord-selfbot-v14, discord-lofy, discordsystem und discord-vilao verwendeten eine modifizierte Version der legitimen Bibliothek discord.js, die Funktionen zur Interaktion mit der API von Discord bereitstellt. Bösartige Komponenten waren in eine der Paketdateien integriert und umfassten etwa 4000 Codezeilen, die durch Verzerrung von Variablennamen, VerschlĂŒsselung von Zeichenfolgen und Formatierungsfehler verfĂ€lscht waren. Der Code scannte das lokale Dateisystem nach Discord-Token und sendete sie bei Entdeckung an Server Angreifer gesendet.
Das Paket fix-error wurde als Fehlerbehebungswerkzeug fĂŒr Discord-Selfbots angegeben, enthielt jedoch die Trojaner-Anwendung PirateStealer, die Kreditkartennummern und mit Discord verbundene Konten stiehlt. Die bösartige Komponente wurde aktiviert, indem JavaScript-Code in den Discord-Client eingeschleust wurde.
Das Paket prerequests-xcode beinhaltete einen Trojaner zur Organisation des Remote-Zugriffs auf das BenutzergerÀt, basierend auf einer Python-Anwendung namens DiscordRAT.
Es wird vermutet, dass Angreifer Zugang zu Discord-Servern benötigten, um Botnet-Control-Punkte bereitzustellen, als Proxy zum Herunterladen von Informationen von gehackten Systemen, um Spuren bei Angriffen zu verwischen, bösartige Software unter Discord-Nutzern zu verbreiten oder Premium-Konten weiterzuverkaufen.
Die Pakete wafer-bind, wafer-autocomplete, wafer-beacon, wafer-caas, wafer-toggle, wafer-geolocation, wafer-image, wafer-form, wafer-lightbox, octavius-public und mrg-message-broker enthielten Code, der den Inhalt von Umgebungsvariablen versendete, die beispielsweise ZugangsschlĂŒssel, Tokens oder Passwörter fĂŒr kontinuierliche Integrationssysteme oder Cloud-Umgebungen wie AWS beinhalten konnten.
Quelle: opennet.ru
