{"id":106945,"date":"2023-02-26T12:49:02","date_gmt":"2023-02-26T10:49:03","guid":{"rendered":"https:\/\/prohoster.info\/?p=106945"},"modified":"2023-02-27T12:02:06","modified_gmt":"2023-02-27T10:02:06","slug":"v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","title":{"rendered":"NPM-is on tuvastatud 15 tuhat kala ja r\u00e4mpsposti paketti.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
NPM kataloogikasutajate vastu on registreeritud r\u00fcnne, mille k\u00e4igus 20. veebruaril pandi NPM-i hoidlasse \u00fcles rohkem kui 15 tuhat paketti, mille README-failides olid lingid kalap\u00fc\u00fcgilehtedele v\u00f5i suunamislinkide, mille kaudu makstakse tasusid, kaudu. Anal\u00fc\u00fcsi k\u00e4igus leiti pakettides 190 ainulaadset kalap\u00fc\u00fcgiga v\u00f5i reklaamiga seotud linki, mis katavad 31 domeeni. <\/p>\n
Pakettide nimed valiti v\u00e4lja, et k\u00f6ita tavainimeste t\u00e4helepanu, n\u00e4iteks «free-tiktok-followers», «free-xbox-codes», «instagram-followers-free» jne. Arvestati, et need sp\u00e4mmi paketid t\u00e4idavad NPM peamiselt lehe uuenduste loendit. Pakettide kirjeldustes esitati lingid, mis lubasid tasuta jagamisi, kingitusi, m\u00e4ngu trikke ning tasuta teenuseid j\u00e4lgijate ja meeldimiste suurenemiseks sotsiaalsetes v\u00f5rgustikes, nagu TikTok ja Instagram. See ei ole esimene sarnane r\u00fcnnak; detsembris registreeriti NuGet, NPM ja PyPi kataloogides 144 000 sp\u00e4mmi paketi avaldamine.
<\/center> <\/p>\n
Pakettide sisu genereeriti automaatselt python-skripti abil, mis n\u00e4ib olevat t\u00e4helepanuta j\u00e4etud pakettides ja sisaldas t\u00f6\u00f6tavaid sisselogimisandmeid, mida kasutati r\u00fcnnaku k\u00e4igus. Pakette avaldati paljude erinevate kontode alt, kasutades meetodeid, mis raskendasid j\u00e4lgede lahti harutamist ja probleemsete pakettide kiiret tuvastamist. <\/p>\n
Lisaks pettustele NPM-i ja PyPi hoidlas on samuti avastatud mitu katset pahavara pakettide avaldamiseks: <\/p>\n
\n
PyPI hoidlast leiti 451 pahatahtlikku paketti, mis maskeerusid populaarsete raamatukogude alla t\u00fcpovigade abil (sarnaste nimede andmine, mis erinesid \u00fcksikute m\u00e4rkide poolest, n\u00e4iteks vper asemel vyper, bitcoinnlib asemel bitcoinlib, ccryptofeed asemel cryptofeed, ccxtt asemel ccxt, cryptocommpare asemel cryptocompare, seleium asemel selenium, pinstaller asemel pyinstaller jne). Paketid sisaldasid obfuskeeritud koodi kr\u00fcptovaluutade varguseks, mis m\u00e4\u00e4ras kr\u00fcptorahakottide identifikaatorite olemasolu l\u00f5ikepusletis ja vahetas need r\u00fcndaja rahakoti vastu (eeldatakse, et makse tegemisel ei m\u00e4rka ohver, et l\u00f5ikepusletis edastatud rahakoti number erineb). Asendamise viis oli brauserisse integreeritud laiend, mis toimetati iga k\u00fclastatava veebilehe kontekstis.\n
PyPI hoidlast leiti rida pahatahtlikke HTTP-raamatukogusid. Pahatahtlik tegevus avastati 41 pakendis, mille nimed valiti t\u00fcpovigade kasutamise meetoditega ja mis meenutasid populaarseid raamatukogusid (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 jne). Sisu oli stiliseeritud t\u00f6\u00f6tavate HTTP-raamatukogude j\u00e4rgi v\u00f5i kopeeris olemasolevate raamatukogude koodi ning kirjelduses esitati v\u00e4iteid eeliste ja v\u00f5rdluste kohta seaduslike HTTP-raamatukogudega. Pahatahtlik tegevus piirdus kas pahavara allalaadimisega s\u00fcsteemi v\u00f5i konfidentsiaalsete andmete kogumise ja edastamisega.\n
NPM-is leiti 16 JavaScripti paketti (speedte*, trova*, lagra), mis lisaks deklaratiivsele funktsionaalsusele (l\u00e4bivuse testimine) sisaldasid ka koodi kr\u00fcptovaluutade kaevandamiseks ilma kasutaja teadmata.\n
![\"NPM-is](\"\/wp-content\/uploads\/2023\/02\/434214f596ba6d4174a3f0a8eae982e4.jpg\")
<\/center> <\/p>\n