Kompromiteeritud NPM-pakett axios, millel on 100 miljonit allalaadimist nädalas.

Kurjusegijad suutsid ära kasutada kaaslasena tegutseva konto ning väljastada kaks pahatahtlikku NPM-paketi versiooni axios, mis pakub HTTP-kliendi teostust brauserite ja Node.js jaoks. Pakett axios kogub üle 100 miljoni allalaadimise nädalas ja seda kasutatakse sõltuvusena 174 000 teises paketis. Pahatahtlikud muudatused integreeriti Axiosi 1.14.1 ja 0.30.4 väljaannetesse vale sõltuvuse plain-crypto-js 4.2.1 kaudu, mis sisaldas koode komponentide laadimiseks, mis said käske kurjategijate juhtimisseadmest. Pahatahtlikud versioonid olid saadaval allalaadimiseks 31. märtsil peaaegu 3 tunni jooksul — ajavahemikus 03:21 kuni 6:15 (MSK).

Pahatahtlikud versioonid viidi NPM-i otse sisse, kasutades axiosi projekti peasaaja ("jasonsaayman") kontot, mööda GitHub Actions'i põhimehhanismi uutest väljaannetest. Eeldatakse, et ründajad suutsid kaaslaselt ära võtta NPM-i juurdepääsu tokeni, mille järel nad sisenesid kontole ja muutsid e-posti sidumise. Kuidas juurdepääsu token täpselt ära võeti, ei täpsustata.

Käivitatud pahatahtlik kood asus paketis plain-crypto-js failis setup.js, aktiveerides pärast NPM-paketi installatsiooni lõppu postinstall töötleja kaudu (‘postinstall: „node setup.js“‘) ning seda kasutati trooja laadimiseks ja installimiseks, mis tabas Windowsi, macOS-i ja Linuxi süsteeme. Oma kohaloleku varjamiseks pärast käivitamist eemaldas pahatahtlik komponent faili setup.js ja asendas package.json variandiga, milles ei olnud postinstall-hüüd.

macOS-is laaditi pahatahtlik täitmisfail allalaadimise teel kaustas „/Library/Caches/com.apple.act.mond“, Windowsis „%PROGRAMDATA%\wt.exe“, Linuxis aga „/tmp/ld.py“. Pärast aktiveerimist Linuxis ja macOS-is saatis see iga 60 sekundi järel teavet välisse. server Pahatahtlik aktiivsus Linuxis ja macOS-is ei sisaldanud taasalustamisjärgset kohaloleku säilitamist ning oli suunatud konfidentsiaalsete andmete, paroolide, tokenite ja juurdepääsuklahvide kiirele kogumisele. Windowsis loodi fail «%PROGRAMDATA%\system.bat», mis tõi pahatahtliku komponendi ründajatelt iga sisselogimise ajal.

Pahatahtlik tegevus Linuxis ja macOS-is ei olnud ette nähtud pärast taaskäivitamist kohaloleku säilitamiseks ning oli suunatud kiirandmete, paroolide, tokenite ja juurdepääsuluku kiirele kogumisele. Windowsis loodi fail „%PROGRAMDATA%\system.bat“, mis hankis pahatahtliku komponendi. serverile rünnakute korral iga sisselogimisega.

Allikas: opennet.ru