Los atacantes lograron tomar el control del paquete NPM coa y lanzar actualizaciones 2.0.3, 2.0.4, 2.1.1, 2.1.3 y 3.1.3 que incluyen cambios maliciosos. El paquete coa, que proporciona funciones para el análisis de argumentos de línea de comandos, tiene alrededor de 9 millones de descargas semanales y se utiliza como dependencia en 159 otros paquetes NPM, incluyendo react-scripts y vue/cli-service. La administración de NPM ya ha eliminado la versión con cambios maliciosos y ha bloqueado la publicación de nuevas versiones hasta que se recupere el acceso al repositorio del desarrollador principal.
El ataque se llevó a cabo a través de la piratería de la cuenta del desarrollador del proyecto. Los cambios maliciosos añadidos son similares a los utilizados en un ataque realizado hace dos semanas contra los usuarios del paquete NPM UAParser.js, pero se limitaron a un ataque solo en la plataforma Windows (con marcadores de posición vacíos en los bloques de carga para Linux y macOS). Se cargó y ejecutó un archivo ejecutable desde un host externo en el sistema del usuario para llevar a cabo la minería de criptomonedas Monero (se utilizó el minero XMRig) y se instaló una biblioteca para interceptar contraseñas.
Al formar el paquete con el código malicioso, se cometió un error que causó fallos en la instalación del paquete, por lo que el problema fue detectado rápidamente y se bloqueó la propagación de la actualización maliciosa en una etapa inicial. Se recomienda a los usuarios asegurarse de que tienen instalada la versión coa 2.0.2 y preferiblemente añadir una restricción en su package.json a una versión estable en caso de una nueva compromisión. npm y yarn: "resolutions": { "coa": "2.0.2" }, pnpm: "pnpm": { "overrides": { "coa": "2.0.2" } },
Fuente: opennet.ru
