Phishing võimaldas saada kontrolli mitmete populaarsete NPM-pakettide üle.

JavaScript-raamatukogudele on toimunud phishing-aatakk, mille käigus saadeti NPM-teenuse nimel teadet, milles paluti kinnitada oma e-posti aadress. Aatakk võimaldas kurjategijatel hankida ühe suurima JavaScript-projekti NPM-mandaate ning välja anda värskendusi, mis sisaldavad pahatahtlikku koodi viies NPM-paketis, millel on kokku umbes 100 miljonit allalaadimist nädalas.

Saadetud teade oli vormistatud NPM-i tüüpiliste teadetena, mis saadetakse aadressilt "support@npmjs.org", kuid link oli suunatud domeenile "npnjs.com" asemel "npmjs.com" (kolmas täht "n" asemel "m"). Ründajad kasutasid psühholoogilist efekti, mille tõttu aju ei märka väikeseid moonutusi, nagu sarnaste tähestiku tähtede asendamine või tähtede järjestuse muutmine sõnas. Lingile klikkides avanes npmjs.com täpne koopia (tõenäoliselt oli seadistatud proksiserver, mis salvestas juurdepääsutokeni).

Aataki käigus loodi uued versioonid paketist:

• eslint-config-prettier: 8.10.1, 9.1.1, 10.1.6, 10.1.7.
• eslint-plugin-prettier: 4.2.2, 4.2.3.
• synckit: 0.11.9.
• @pkgr/core: 0.2.8.
• napi-postinstall: 0.3.1.

Valmistatud väljalaskes on lisatud pahavara, mis ründab Windowsi platvormi kasutajaid. Tehtud muudatused laadisid alla teegi node-gyp.dll, millel on süsteemis kaugkäskude täitmise funktsionaalsus.

Saatja märkas, et ta oli küberturbe rünnaku ohver umbes tund pärast esimest kaebust kahtlaste väljaannete avaldamise kohta. Ta tühistas kohe juurdepääsu tokeni, muutis paroolid ja märkis probleemsed versioonid kasutuseks sobimatuks, et vältida nende allalaadimist automatiseeritud koostamissüsteemide poolt, ning saatis NPM’i tugiteenusele palve eemaldada probleemsed versioonid hoidlatest.

Ei täpsustata, kui palju kasutajaid suutis pahatahtlikke versioone alla laadida (näiteks pahatahtlik eslint-plugin-prettier versioon jäi hoidlasse umbes kaheks päevaks). Eelmisel nädalal oli paketil eslint-config-prettier 30 miljonit allalaadimist ja seda kasutati 11762 paketi sõltuvusena; paketil eslint-plugin-prettier — 21 miljonit allalaadimist (8468 sõltuvat paketti), synckit — 18 miljonit, @pkgr/core — 16 miljonit ja napi-postinstall — 10 miljonit.

Allikas: opennet.ru