{"id":106945,"date":"2023-02-26T12:49:02","date_gmt":"2023-02-26T10:49:03","guid":{"rendered":"https:\/\/prohoster.info\/?p=106945"},"modified":"2023-02-27T12:02:06","modified_gmt":"2023-02-27T10:02:06","slug":"v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","title":{"rendered":"Se han encontrado 15,000 paquetes de phishing y spam en NPM.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha registrado un ataque a los usuarios del cat\u00e1logo NPM, como resultado del cual el 20 de febrero se publicaron m\u00e1s de 15,000 paquetes en el repositorio NPM, en cuyos archivos README hab\u00eda enlaces a sitios de phishing o enlaces de referencia que ofrec\u00edan comisiones por clics. En el an\u00e1lisis de los paquetes se identificaron 190 enlaces \u00fanicos de phishing o publicidad, abarcando 31 dominios. <\/p>\n
Los nombres de los paquetes fueron elegidos para atraer el inter\u00e9s de los usuarios comunes, por ejemplo, \u2018free-tiktok-followers\u2019, \u2018free-xbox-codes\u2019, \u2018instagram-followers-free\u2019, etc. Se calcul\u00f3 que estos paquetes spam llenar\u00edan la lista de actualizaciones recientes en la p\u00e1gina principal de NPM. En la descripci\u00f3n de los paquetes, se inclu\u00edan enlaces que promet\u00edan giveaways gratuitos, regalos, trucos para juegos, as\u00ed como servicios gratuitos para aumentar seguidores y likes en redes sociales como TikTok e Instagram. Este no es el primer ataque de este tipo; en diciembre se registr\u00f3 la publicaci\u00f3n de 144 mil paquetes spam en los cat\u00e1logos de NuGet, NPM y PyPi.
<\/center> <\/p>\n
El contenido de los paquetes fue generado autom\u00e1ticamente mediante un script de Python, que aparentemente se dej\u00f3 inadvertidamente en los paquetes e inclu\u00eda credenciales de trabajo utilizadas durante el ataque. Los paquetes fueron publicados bajo m\u00faltiples cuentas diferentes utilizando m\u00e9todos que complican el rastreo de los registros y la identificaci\u00f3n r\u00e1pida de los paquetes problem\u00e1ticos. <\/p>\n
Adem\u00e1s de las actividades fraudulentas en los repositorios de NPM y PyPi, tambi\u00e9n se han detectado varios intentos de publicaci\u00f3n de paquetes maliciosos: <\/p>\n
\n
Se encontraron 451 paquetes maliciosos en el repositorio de PyPI, que se ocultaban detr\u00e1s de algunas bibliotecas populares mediante type-squatting (asignaci\u00f3n de nombres similares que difieren por caracteres individuales, como vper en lugar de vyper, bitcoinnlib en lugar de bitcoinlib, ccryptofeed en lugar de cryptofeed, ccxtt en lugar de ccxt, cryptocommpare en lugar de cryptocompare, seleium en lugar de selenium, pinstaller en lugar de pyinstaller, etc.). Los paquetes inclu\u00edan c\u00f3digo ofuscado para robar criptomonedas, que identificaba la presencia de identificadores de billeteras en el portapapeles y los reemplazaba por la billetera del atacante (se supone que la v\u00edctima no notar\u00e1 que el n\u00famero de billetera copiado es diferente al realizar el pago). La sustituci\u00f3n fue llevada a cabo por una extensi\u00f3n integrada en el navegador, que se ejecutaba en el contexto de cada p\u00e1gina web visitada.\n
Se ha identificado una serie de bibliotecas HTTP maliciosas en el repositorio de PyPI. La actividad maliciosa se encontr\u00f3 en 41 paquetes, cuyos nombres fueron seleccionados utilizando m\u00e9todos de type-squatting y que recordaban a bibliotecas populares (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, etc.). El contenido estaba estilizado para parecerse a bibliotecas HTTP funcionales o copi\u00f3 el c\u00f3digo de bibliotecas existentes, y en la descripci\u00f3n se inclu\u00edan afirmaciones sobre ventajas y comparaciones con bibliotecas HTTP leg\u00edtimas. La actividad maliciosa se reduc\u00eda a cargar malware en el sistema o a recopilar y enviar datos confidenciales.\n
Se identificaron 16 paquetes de JavaScript en NPM (speedte*, trova*, lagra), que adem\u00e1s de la funcionalidad declarada (pruebas de ancho de banda) conten\u00edan c\u00f3digo para minar criptomonedas sin el conocimiento del usuario.\n
![\"Se](\"\/wp-content\/uploads\/2023\/02\/434214f596ba6d4174a3f0a8eae982e4.jpg\")
<\/center> <\/p>\n