Kompromiteeritud NPM-pakett axios, millel on 100 miljonit allalaadimist nädalas

Ründajad suutsid hõivata kaaslastelt konto ja välja anda kaks pahatahtlikku NPM-paketi versiooni axios, mis pakub HTTP-klientide rakendust brauserites ja Node.js-is. Pakett axios toob rohkem kui 100 miljonit allalaadimist nädalas ja seda kasutatakse sõltuvusena 174 tuhande teise paketi poolt. Pahatahtlikud muudatused integreeriti Axiosi versioonidesse 1.14.1 ja 0.30.4 vale sõltuvuse plain-crypto-js 4.2.1 asendamise kaudu, mis sisaldas koodi komponentide allalaadimiseks, mis võtavad käske ründajate juhtimiserverilt. Pahatahtlikud versioonid olid allalaadimiseks saadaval 31. märtsil peaaegu 3 tunni vältel - ajavahemikus 03:21 kuni 6:15 (MSK).

Pahatahtlikud versioonid kanti otse NPM-i kasutades axiosi peamise kaaslase ("jasonsaayman") mandaati, mööda GitHub Actions-i põhimehhanismi uue väljaandmise avaldamiseks. Eeldatakse, et ründajad suutsid kaaslaselt hõivata NPM-i juurdepääsutokeni, seejärel sisenesid nad kontole ja muutsid e-posti sidumist. Kuidas täpselt juurdepääsutokeni saadud ei täpsustata.

Käivitatud pahatahtlik kood oli paigutatud paketti plain-crypto-js faili setup.js, aktiveeriti pärast NPM-paketi installatsiooni lõpetamist postinstall-käitleja kaudu (‘postinstall: «node setup.js»‘) ja kasutati troojani allalaadimiseks ja installimiseks, mis ründas Windowsi, macOS-i ja Linuxi süsteeme. Oma kohaloleku varjamiseks eemaldab pahatahtlik komponent pärast käivitamist faili setup.js ja asendab package.json-i versiooniga ilma postinstall-kasti.

macOS-is laaditi pahatahtlik käivitatav fail alla nimega «/Library/Caches/com.apple.act.mond», Windowsis «%PROGRAMDATA%\wt.exe», Linuxis — «/tmp/ld.py». Pärast aktiveerimist Linuxis ja macOS-is saadeti iga 60 sekundi tagant ründajatelt käskluse päring rünnutud süsteemi täitmiseks, millest võidi kasutada täiendavate pahatahtlike komponentide allalaadimist, juhuslike shell-käskude täitmist ja teatud failide otsimist/saadet. server Pahatahtlik tegevus Linuxis ja macOS-is ei kohaldanud kohaloleku säilitamist pärast taaskäivitamist ja oli mõeldud kiireks konfidentsiaalsete andmete, paroolide, tokenite ja juurdepääsu võtmete kogumiseks. Windowsis loodi fail «%PROGRAMDATA%\system.bat», mis tõmbas pahatahtlikku komponenti ründajatelt igal sisselogimisel.

Pahatahtlik tegevus Linuxis ja macOS-is ei ennustanud kohaloleku säilitamist pärast taaskäivitamist ja oli mõeldud kiireks konfidentsiaalsete andmete, paroolide, tokenite ja juurdepääsu võtmete kogumiseks. Windowsis loodi fail «%PROGRAMDATA%\system.bat», mis tõmbas pahatahtlikku komponenti ründajatelt igal sisselogimisel. serverilt ründajatelt igal sisselogimisel.

Allikas: opennet.ru