Es wurde ein Phishing-Angriff auf die begleitenden JavaScript-Bibliotheken registriert, bei dem im Namen des NPM-Services eine Nachricht versendet wurde, die zur Bestätigung der E-Mail-Adresse aufforderte. Der durchgeführte Angriff ermöglichte es den Angreifern, NPM-Token des Begleiters eines großen JavaScript-Projekts zu erhalten und Updates mit schädlichem Code für fünf NPM-Pakete herauszugeben, die insgesamt etwa 100 Millionen Downloads pro Woche zählen.
Die versendete Begleitnachricht war im Stil typischer NPM-Benachrichtigungen gestaltet, die von der Adresse „support@npmjs.org“ gesendet werden, jedoch wurde als Link die Domain „npnjs.com“ anstelle von „npmjs.com“ angegeben (dritte Buchstabe „n“ statt „m“). Die Angreifer nutzten den psychologischen Effekt, bei dem das Gehirn, in Erwartung des erwarteten Ergebnisses, kleine Verzerrungen wie Buchstabenaustausch oder Änderung der Buchstabenreihenfolge in einem Wort nicht bemerkt. Beim Klicken auf den Link wurde eine vollständige Kopie der Website npmjs.com geöffnet (wahrscheinlich wurde ein Proxy eingerichtet, um das Zugriffstoken abzufangen).
Im Rahmen des Angriffs wurden neue Versionen der Pakete erstellt:
- eslint-config-prettier: 8.10.1, 9.1.1, 10.1.6, 10.1.7.
- eslint-plugin-prettier: 4.2.2, 4.2.3.
- synckit: 0.11.9.
- @pkgr/core: 0.2.8.
- napi-postinstall: 0.3.1.
In die veröffentlichten Versionen wurde schadhafter Code hinzugefügt, um Benutzer, die die Windows-Plattform verwenden, anzugreifen. Die vorgenommenen Änderungen luden die Bibliothek node-gyp.dll herunter, die Funktionen für die Remoteausführung von Befehlen im System enthielt.
Der Betroffene bemerkte, dass er Opfer von Phishing wurde, etwa eine Stunde nachdem die erste Beschwerde über die Veröffentlichung verdächtiger Releases einging. Er zog sofort das Zugangs-Token zurück, änderte die Passwörter und kennzeichnete die problematischen Versionen als veraltet, um einen Download durch automatisierte Build-Systeme zu verhindern. Außerdem leitete er die Anfrage zur Löschung der problematischen Versionen aus dem Repository an den NPM-Support weiter.
Es ist unklar, wie viele Benutzer die schadhafte Version heruntergeladen haben (zum Beispiel blieb die schadhafte Version des Pakets eslint-plugin-prettier etwa zwei Tage im Repository). In der letzten Woche verzeichnete das Paket eslint-config-prettier 30 Millionen Downloads und wurde als Abhängigkeit in 11.762 Paketen verwendet; das Paket eslint-plugin-prettier hatte 21 Millionen Downloads (8.468 abhängige Pakete), synckit 18 Millionen, @pkgr/core 16 Millionen und napi-postinstall 10 Millionen.
Quelle: opennet.ru
