{"id":102213,"date":"2021-11-05T03:36:51","date_gmt":"2021-11-05T01:36:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-paket-coa-naschityvayushhij-9-mln-zagruzok-v-nedelyu-vnedreno-vredonosnoe-po"},"modified":"2021-11-05T03:36:51","modified_gmt":"2021-11-05T01:36:51","slug":"v-npm-paket-coa-naschityvayushhij-9-mln-zagruzok-v-nedelyu-vnedreno-vredonosnoe-po","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/v-npm-paket-coa-naschityvayushhij-9-mln-zagruzok-v-nedelyu-vnedreno-vredonosnoe-po","title":{"rendered":"Le paquet NPM coa, qui compte 9 millions de t\u00e9l\u00e9chargements par semaine, a \u00e9t\u00e9 infect\u00e9 par un logiciel malveillant.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Les cybercriminels ont r\u00e9ussi \u00e0 prendre le contr\u00f4le du paquet NPM coa et \u00e0 publier des mises \u00e0 jour 2.0.3, 2.0.4, 2.1.1, 2.1.3 et 3.1.3, contenant des modifications malveillantes. Le paquet coa, qui fournit des fonctionnalit\u00e9s pour analyser les arguments de ligne de commande, conna\u00eet environ 9 millions de t\u00e9l\u00e9chargements par semaine et est utilis\u00e9 comme d\u00e9pendance par 159 autres paquets NPM, y compris react-scripts et vue\/cli-service. L'administration NPM a d\u00e9j\u00e0 supprim\u00e9 la version avec les modifications malveillantes et a bloqu\u00e9 la publication de nouvelles versions jusqu'\u00e0 ce que l'acc\u00e8s au d\u00e9p\u00f4t du d\u00e9veloppeur principal soit r\u00e9tabli. <\/p>\n
L'attaque a \u00e9t\u00e9 r\u00e9alis\u00e9e par le piratage du compte du d\u00e9veloppeur du projet. Les modifications malveillantes ajout\u00e9es sont similaires \u00e0 celles utilis\u00e9es lors d'une attaque sur les utilisateurs du paquet NPM UAParser.js, deux semaines auparavant, mais se limitaient \u00e0 une attaque uniquement sur la plateforme Windows (des vides \u00e9taient laiss\u00e9s dans les blocs de t\u00e9l\u00e9chargement pour Linux et macOS). Un fichier ex\u00e9cutable pour le minage de la cryptomonnaie Monero (le mineur XMRig \u00e9tait utilis\u00e9) \u00e9tait t\u00e9l\u00e9charg\u00e9 et ex\u00e9cut\u00e9 depuis un h\u00f4te externe et une biblioth\u00e8que pour intercepter les mots de passe \u00e9tait install\u00e9e. <\/p>\n
Lors de la cr\u00e9ation d'un package contenant du code malveillant, une erreur a \u00e9t\u00e9 commise, ce qui a provoqu\u00e9 un \u00e9chec lors de l'installation du package. Cette erreur a \u00e9t\u00e9 rapidement identifi\u00e9e et la diffusion de la mise \u00e0 jour malveillante a \u00e9t\u00e9 bloqu\u00e9e \u00e0 un stade pr\u00e9coce. L'utilisateur doit s'assurer qu'il utilise la version coa 2.0.2 et il est recommand\u00e9 d'ajouter dans le package.json de ses projets un lien vers la version stable en cas de compromission r\u00e9p\u00e9t\u00e9e. npm et yarn : \u00abresolutions\u00bb: { \u00abcoa\u00bb: \u00ab2.0.2\u00bb }, pnpm : \u00abpnpm\u00bb: { \u00aboverrides\u00bb: { \u00abcoa\u00bb: \u00ab2.0.2\u00bb } } \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"