{"id":106945,"date":"2023-02-26T12:49:02","date_gmt":"2023-02-26T10:49:03","guid":{"rendered":"https:\/\/prohoster.info\/?p=106945"},"modified":"2023-02-27T12:02:06","modified_gmt":"2023-02-27T10:02:06","slug":"v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","title":{"rendered":"In NPM wurden 15.000 Pakete f\u00fcr Phishing und Spam identifiziert.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Eine Attacke auf die Benutzer des NPM-Verzeichnisses wurde registriert, bei der am 20. Februar \u00fcber 15.000 Pakete im NPM-Repository ver\u00f6ffentlicht wurden, in deren README-Dateien Links zu Phishing-Websites oder Empfehlungslinks enthalten waren, f\u00fcr die Geb\u00fchren gezahlt werden. Bei der Analyse wurden 190 einzigartige Phishing- oder Werbelinks in den Paketen gefunden, die 31 Domains abdeckten. <\/p>\n
Die Paketnamen wurden gew\u00e4hlt, um das Interesse der \u00d6ffentlichkeit zu wecken, beispielsweise \"free-tiktok-followers\", \"free-xbox-codes\", \"instagram-followers-free\" usw. Das Ziel war es, die Listen der j\u00fcngsten Updates auf der Startseite von NPM mit Spam-Paketen zu f\u00fcllen. In den Beschreibungen der Pakete wurden Links angegeben, die kostenlose Verlosungen, Geschenke, Spiel-Cheats sowie kostenlose Dienstleistungen zum Erh\u00f6hen von Followern und Likes in sozialen Netzwerken wie TikTok und Instagram versprachen. Dies ist nicht der erste \u00e4hnliche Angriff; im Dezember wurden in den Katalogen NuGet, NPM und PyPi die Publikationen von 144.000 Spam-Paketen dokumentiert.
<\/center> <\/p>\n
Der Inhalt der Pakete wurde automatisch mit einem Python-Skript generiert, das anscheinend versehentlich in den Paketen belassen wurde und arbeitsf\u00e4hige Anmeldeinformationen enthielt, die w\u00e4hrend des Angriffs verwendet wurden. Die Pakete wurden unter vielen verschiedenen Konten ver\u00f6ffentlicht, wobei Methoden eingesetzt wurden, die das Entwirren von Spuren und die zeitnahe Identifizierung problematischer Pakete erschweren. <\/p>\n
Neben betr\u00fcgerischen Aktivit\u00e4ten in den NPM- und PyPi-Repositories wurden auch mehrere Versuche zur Ver\u00f6ffentlichung b\u00f6sartiger Pakete festgestellt: <\/p>\n
\n
Im PyPI-Repository wurden 451 b\u00f6sartige Pakete gefunden, die sich als einige beliebte Bibliotheken durch Typ-Squatting maskierten (Verwendung \u00e4hnlicher Namen, die sich nur in einzelnen Zeichen unterscheiden, z. B. vper statt vyper, bitcoinnlib statt bitcoinlib, ccryptofeed statt cryptofeed, ccxtt statt ccxt, cryptocommpare statt cryptocompare, seleium statt selenium, pinstaller statt pyinstaller usw.). Die Pakete enthielten obfuskierten Code zur Diebstahl von Kryptow\u00e4hrung, der nach dem Vorhandensein von Identifikatoren von Krypto-Wallets in der Zwischenablage suchte und diese durch die Wallet des Angreifers ersetzte (es wird angenommen, dass das Opfer beim T\u00e4tigen einer Zahlung nicht bemerkt, dass die durch die Zwischenablage \u00fcbertragene Wallet-Nummer abweicht). Die Umleitung erfolgte durch ein in den Browser eingebettetes Add-On, das in dem Kontext jeder besuchten Webseite ausgef\u00fchrt wurde.\n
Im PyPI-Repository wurde eine Serie von sch\u00e4dlichen HTTP-Bibliotheken entdeckt. Sch\u00e4dliche Aktivit\u00e4ten wurden in 41 Paketen gefunden, deren Namen durch Typosquatting-Methoden gew\u00e4hlt wurden und die popul\u00e4ren Bibliotheken \u00e4hnelten (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 usw.). Die Inhalte waren so gestaltet, dass sie funktionierenden HTTP-Bibliotheken \u00e4hnelten oder den Code bestehender Bibliotheken kopierten, w\u00e4hrend in der Beschreibung Vorteile und Vergleiche mit legitimen HTTP-Bibliotheken angef\u00fchrt wurden. Die sch\u00e4dlichen Aktivit\u00e4ten bestanden entweder darin, sch\u00e4dliche Software auf das System zu laden oder vertrauliche Daten zu sammeln und zu \u00fcbertragen.\n
In NPM wurden 16 JavaScript-Pakete (speedte*, trova*, lagra) entdeckt, die neben der angegebenen Funktionalit\u00e4t (Durchsatztests) auch Code zum Mining von Kryptow\u00e4hrungen ohne das Wissen der Benutzer enthielten.\n
![\"In](\"\/wp-content\/uploads\/2023\/02\/434214f596ba6d4174a3f0a8eae982e4.jpg\")
<\/center> <\/p>\n