Petuskeem on võimaldanud mitu populaarsest NPM-pakettidest kontrolli alla saada.

Javascript-raamatukogusid uurides tuvastati kalastamisrünnak, mille raames saadeti NPM-teenuse nimel teade, mis teatas vajadusest kinnitada oma e-posti aadress. Rünnak võimaldas kurjategijatel saada ühe suurima JavaScript-projekti NPM-tokenid ning välja anda kahjulikku koodi sisaldavaid uuendusi viiele NPM-paketile, millel on kokku umbes 100 miljonit allalaadimist nädalas.

Saadetud teade oli vormindatud NPM-i tüüpiliste teavituste sarnaseks, mis saadetakse aadressilt "support@npmjs.org", kuid lingina oli antud domeen "npnjs.com" asemel "npmjs.com" (kolmas täht "n" asemel "m"). Ründajad kasutasid psühholoogilist efekti, mille tõttu aju, oodates oodatud tulemust, ei märka väikeseid moonutusi, nagu tähemärkide asendamine sarnastega või tähemärkide järjestuse muutmine. Lingile klikkides avanes npmjs.com täiskopeerimine (ilmselt oli seadistatud proxü, mis interceptis juurutustokeni).

Rünnaku käigus loodi uusi paketiversioone:

• eslint-config-prettier: 8.10.1, 9.1.1, 10.1.6, 10.1.7.
• eslint-plugin-prettier: 4.2.2, 4.2.3.
• synckit: 0.11.9.
• @pkgr/core: 0.2.8.
• napi-postinstall: 0.3.1.

Loobitudse väljaannetes lisati kahjulik kood, mis ründas Windows'i platvormiga kasutajaid. Tehtud muudatused laadisid alla raamatukogu node-gyp.dll, mis sisaldas funktsionaalsust süsteemi kaugkäskude täitmiseks.

Saatev isik märkis, et ta oli kalastamise ohver umbes tund pärast esimese kaebuse laekumist kahtlaste väljaannete kohta. Ta tühistas koheselt juurutustokeni, vahetas paroolid ning märkis probleemsed versioonid vananenud, et vältida nende allalaadimist automatiseeritud koostamissüsteemide poolt, ja saatis probleemi versioonide eemaldamiseks NPM-i tugiteenistusele taotluse.

Ei täpsustata, kui palju kasutajaid jõudis kahjulikke versioone allalaadida (näiteks kahjulik eslint-plugin-prettier versioon püsis repos umbes kaks päeva). Eelmise nädala jooksul registreeriti eslint-config-prettier'il 30 miljonit allalaadimist ja seda kasutati sõltuvusena 11762 paketi puhul, eslint-plugin-prettier - 21 miljonit allalaadimist (8468 sõltuvat paketti), synckit - 18 miljonit, @pkgr/core - 16 miljonit ja napi-postinstall - 10 miljonit.

Allikas: opennet.ru