NPM-pakettides coa, millel on 9 miljonit allalaadimist nädalas, on tuvastatud pahavara

Kurjategijatel õnnestus saada kontroll NPM-paketi coa üle ja välja anda värskendused 2.0.3, 2.0.4, 2.1.1, 2.1.3 ja 3.1.3, mis sisaldasid pahatahtlikke muudatusi. Pakett coa, mis pakub argumentide töötlemise funktsioone, on umbes 9 miljonit allalaadimist nädalas ja seda kasutatakse sõltuvusena 159 muus NPM-paketis, sealhulgas react-scripts ja vue/cli-service. NPM haldus on juba eemaldanud pahatahtlikud muudatused sisaldava väljaande ja blokeerinud uute versioonide avaldamise kuni põhiarendaja repositooriumi ligipääsu taastamiseni.

Rünnak toimus projekti arendaja konto häkkimise kaudu. Lisatud pahatahtlikud muudatused on sarnased nendega, mis kasutati kaks nädalat tagasi rünnakus NPM-paketi UAParser.js kasutajatele, kuid see piirdus ainult Windowsi platvormiga (Linuxi ja macOSi allalaadimise blokkides on tühjad placeholderid). Kasutaja süsteemi laaditi välisest hostist ja käivitati täitmisfail, et kaevandada Monero krüptovaluutat (kasutati kaevandajat XMRig) ning paigaldati paroolide püüdmise teek.

Pahavaraga paketi loomisel tekkis viga, mis põhjustas paketi installimisel tõrke, seega probleem tuvastati kiiresti ja pahatahtliku värskenduse levik blokeeriti varases staadiumis. Kasutaja peaks veenduma, et tal on installitud versioon coa 2.0.2, ning soovitatavalt lisama oma projektide package.json-sse seose töötava versiooniga juhuks, kui see uuesti compromiteeritakse. npm ja yarn: „resolutions”: { „coa”: „2.0.2” }, pnpm: „pnpm”: { „overrides”: { „coa”: „2.0.2” } },

Allikas: opennet.ru