{"id":106945,"date":"2023-02-26T12:49:02","date_gmt":"2023-02-26T10:49:03","guid":{"rendered":"https:\/\/prohoster.info\/?p=106945"},"modified":"2023-02-27T12:02:06","modified_gmt":"2023-02-27T10:02:06","slug":"v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","title":{"rendered":"NPM-is on tuvastatud 15 tuhat kalaparanduse ja r\u00e4mpsposti paketti.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
J\u00e4lgitud on r\u00fcnnak NPM katalooge kasutajatele, mille tulemusena 20. veebruaril laaditi NPM-i reposse \u00fcles \u00fcle 15 000 paketi, mille README-failides olid lingid pahavara lehtedele v\u00f5i suunamislinkidele, mille kaudu klikkimiste eest makstakse tasu. Anal\u00fc\u00fcsi k\u00e4igus tuvastati pakettides 190 unikaalset phishing- v\u00f5i reklaamilinki, mis h\u00f5lmavad 31 domeeni. <\/p>\n
Pakettide nimetused valiti \u00fcldsuse huvi \u00e4ratamiseks, nagu n\u00e4iteks «free-tiktok-followers» «free-xbox-codes», «instagram-followers-free» jne. Arvutused tehti selle p\u00f5hjal, et t\u00e4ita sp\u00e4mmerpakettidega viimaste uuenduste loend NPMi peamisel lehek\u00fcljel. Pakettide kirjeldustes toodi v\u00e4lja lingid, mis lubasid tasuta jagamisi, auhindu, m\u00e4ngutegevuse koodikirju ja tasuta teenuseid, mis suurendavad j\u00e4lgijate arvu ja meeldimisi sotsiaalmeedias, nagu TikTok ja Instagram. See ei ole esimene sarnane r\u00fcnnak; detsembris registreeriti NuGeti, NPMi ja PyPi kataloogides 144 tuhat sp\u00e4mmerpaketti.
<\/center> <\/p>\n
Pakettide sisu genereeriti automaatselt python-skripti abil, mis ilmselt j\u00e4i hooletuse t\u00f5ttu pakettidesse ja sisaldas t\u00f6\u00f6aluseid mandaate, mida kasutati r\u00fcnnaku k\u00e4igus. Pakette avaldati mitmete erinevate kontode alt, kasutades meetodeid, mis raskendavad j\u00e4lgede v\u00e4ljakirjutamist ja probleemsete paketide kiiret tuvastamist. <\/p>\n
Lisaks petuskeemidele NPM-i ja PyPi hoidlatest avastati ka mitmeid katseid pahatahtlike paketide avaldamiseks: <\/p>\n
\n
PyPI registris leiti 451 pahatahtlikku pakett, mis varjas end m\u00f5ne populaarse teegi all tavalise nimes\u00fcva t\u00f5ttu (sarnaste nimede kasutamine, mis erinevad teatud s\u00fcmbolite poolest, n\u00e4iteks vper asemel vyper, bitcoinnlib asemel bitcoinlib, ccryptofeed asemel cryptofeed, ccxtt asemel ccxt, cryptocommpare asemel cryptocompare, seleium asemel selenium, pinstaller asemel pyinstaller jne). Pakettidesse oli varjatud kood, mis varastas kr\u00fcptovaluutat, tuvastades kr\u00fcptovaluuta rahakoti identifikaatoreid, mis asusid l\u00f5ikelaual, ja muutes need kurjategija rahakoti numbriks (supponeeritakse, et makse tegemisel ei m\u00e4rka ohver, et l\u00f5ikelaual olev rahakoti number on erinev). Asenduse tegi brauseri lisand, mis t\u00f6\u00f6tas iga k\u00fclastatava veebilehe kontekstis.\n
PyPI hoidlas tuvastati mitmeid pahatahtlikke HTTP-raamatukogusid. Pahatahtlik tegevus leiti 41 pakendis, mille nimed valiti v\u00e4lja type-squatting meetodite abil ja nad meenutasid populaarseid raamatukogusid (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 jne). Sisu oli stiliseeritud t\u00f6\u00f6tavateks HTTP-raamatukogudeks v\u00f5i kopeeris olemasolevate raamatukogude koodi, samas kui kirjel toodud v\u00e4idetes r\u00f5hutati eeliseid ja v\u00f5rreldi neid legitiimsete HTTP-raamatukogudega. Pahatahtlik tegevus piirnes kas pahavara allalaadimisega s\u00fcsteemi v\u00f5i konfidentsiaalsete andmete kogumise ja saatmisega.\n
NPM-is tuvastati 16 JavaScript-paketti (speedte*, trova*, lagra), mis peale deklareeritud funktsionaalsuse (l\u00e4bipaistvuse testimine) sisaldasid ka koodi kr\u00fcptovaluuta kaevandamiseks kasutaja teadmata.\n
![\"NPM-is](\"\/wp-content\/uploads\/2023\/02\/434214f596ba6d4174a3f0a8eae982e4.jpg\")
<\/center> <\/p>\n