Se identificaron 25 paquetes maliciosos en el repositorio de NPM, que se distribuyeron utilizando type squatting, es decir, asignando nombres similares a los de bibliotecas populares, con la esperanza de que el usuario cometiera un error tipográfico al teclear el nombre o no notara las diferencias al elegir un módulo de la lista.
- 17 paquetes incluían código malicioso para buscar en el sistema de archivos local tokens de Discord y enviarlos al servidor de los atacantes. En la mayoría de los casos, los cambios maliciosos se camuflaban a través de la entrega de variantes modificadas de bibliotecas legítimas como discord.js y colors.
- node-colors-sync
- color-self
- color-self-2
- lemaaa
- adv-discord-utility
- tools-for-discord
- purple-bitch
- purple-bitchs
- noblox.js-addons
- discord-selfbot-tools
- discord.js-aployscript-v11
- discord.js-selfbot-aployscript
- discord.js-selfbot-aployed
- discord.js-discord-selfbot-v4
- colors-beta
- vera.js
- discord-protection
- 5 paquetes incluían código para enviar el contenido de las variables de entorno, que podían incluir, por ejemplo, claves de acceso, tokens o contraseñas para sistemas de integración continua o entornos en la nube como AWS.
- wafer-text
- wafewafer-templater-countdown
- wafer-template
- wafer-darla
- mynewpkg
- 2 paquetes (markedjs, crypto-standarts) incluían un troyano para organizar acceso remoto al sistema del usuario, permitiendo ejecutar código arbitrario en Python (Python remote code injector).
- 1 paquete (kakakaakaaa11aa) incluía un backdoor para control remoto del sistema (Connectback shell).
Fuente: opennet.ru
