{"id":106945,"date":"2023-02-26T12:49:02","date_gmt":"2023-02-26T10:49:03","guid":{"rendered":"https:\/\/prohoster.info\/?p=106945"},"modified":"2023-02-27T12:02:06","modified_gmt":"2023-02-27T10:02:06","slug":"v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","title":{"rendered":"Im NPM wurden 15.000 Pakete f\u00fcr Phishing und Spam entdeckt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Ein Angriff auf Nutzer des NPM-Katalogs wurde best\u00e4tigt, infolgedessen wurden am 20. Februar \u00fcber 15.000 Pakete im NPM-Repository ver\u00f6ffentlicht, deren README-Dateien Links zu Phishing-Websites oder Empfehlungslinks enthielten, f\u00fcr die bei einem Klick Provisionen ausgezahlt werden. Bei der Analyse der Pakete wurden 190 einzigartige Phishing- oder Werbelinks entdeckt, die 31 Domains umfassten. <\/p>\n
Die Paketnamen wurden gew\u00e4hlt, um das Interesse der breiten \u00d6ffentlichkeit zu wecken, wie zum Beispiel «free-tiktok-followers», «free-xbox-codes», «instagram-followers-free» usw. Der Plan war, die Liste der letzten Aktualisierungen auf der Hauptseite von NPM mit Spam-Paketen zu f\u00fcllen. In den Beschreibungen der Pakete wurden Links angef\u00fchrt, die kostenlose Verlosungen, Geschenke, Spielcodes sowie kostenlose Dienstleistungen zur Erh\u00f6hung von Followern und Likes in sozialen Netzwerken wie TikTok und Instagram versprachen. Dies ist nicht der erste \u00e4hnliche Angriff; im Dezember wurde in den Katalogen NuGet, NPM und PyPi die Ver\u00f6ffentlichung von 144.000 Spam-Paketen festgestellt.
<\/center> <\/p>\n
Der Inhalt der Pakete wurde automatisch mit einem Python-Skript generiert, das anscheinend versehentlich in den Paketen zur\u00fcckgelassen wurde und funktionierende Zugangsdaten enthielt, die w\u00e4hrend des Angriffs verwendet wurden. Die Pakete wurden unter einer Vielzahl verschiedener Konten ver\u00f6ffentlicht, wobei Methoden eingesetzt wurden, die die R\u00fcckverfolgung der Spuren und die zeitnahe Identifizierung problematischer Pakete erschwerten. <\/p>\n
Neben betr\u00fcgerischen Aktivit\u00e4ten wurden in den Repositories von NPM und PyPi auch mehrere Versuche zur Ver\u00f6ffentlichung von sch\u00e4dlichen Paketen festgestellt: <\/p>\n
\n
In dem PyPI-Repository wurden 451 b\u00f6sartige Pakete gefunden, die sich als einige beliebte Bibliotheken tarnen, indem sie Typ-Squatting verwenden (\u00e4hnliche Namen, die sich nur durch einzelne Zeichen unterscheiden, wie vper anstelle von vyper, bitcoinnlib anstelle von bitcoinlib, ccryptofeed anstelle von cryptofeed, ccxtt anstelle von ccxt, cryptocommpare anstelle von cryptocompare, seleium anstelle von selenium, pinstaller anstelle von pyinstaller usw.). Die Pakete enthielten obfuszierten Code zum Diebstahl von Kryptow\u00e4hrung, der \u00fcberpr\u00fcfte, ob die Identifikatoren von Krypto-Wallets in der Zwischenablage vorhanden waren, und sie durch die Wallet des Angreifers ersetzte (es wird angenommen, dass das Opfer beim Bezahlen nicht bemerken w\u00fcrde, dass die durch die Zwischenablage \u00fcbertragene Wallet-Nummer abweicht). Der Austausch erfolgte durch eine in den Browser integrierte Erweiterung, die im Kontext jeder besuchten Webseite ausgef\u00fchrt wurde.\n
Im PyPI-Repository wurde eine Serie von b\u00f6sartigen HTTP-Bibliotheken identifiziert. B\u00f6sartige Aktivit\u00e4ten wurden in 41 Paketen festgestellt, deren Namen mit Methoden des Typ-Squattings ausgew\u00e4hlt wurden und die an beliebte Bibliotheken erinnerten (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 usw.). Der Inhalt war als funktionierende HTTP-Bibliotheken gestaltet oder kopierte den Code existierender Bibliotheken, w\u00e4hrend in der Beschreibung Vorteile und Vergleiche mit legitimen HTTP-Bibliotheken aufgef\u00fchrt wurden. Die b\u00f6sartigen Aktivit\u00e4ten beschr\u00e4nkten sich entweder auf das Herunterladen von Malware auf das System oder auf das Sammeln und Versenden vertraulicher Daten.\n
In NPM wurden 16 JavaScript-Pakete (speedte*, trova*, lagra) identifiziert, die neben der angegebenen Funktionalit\u00e4t (Test der Bandbreite) auch Code f\u00fcr das Mining von Kryptow\u00e4hrungen ohne Wissen des Benutzers enthielten.\n
![\"Im](\"\/wp-content\/uploads\/2023\/02\/434214f596ba6d4174a3f0a8eae982e4.jpg\")
<\/center> <\/p>\n