{"id":106945,"date":"2023-02-26T12:49:02","date_gmt":"2023-02-26T10:49:03","guid":{"rendered":"https:\/\/prohoster.info\/?p=106945"},"modified":"2023-02-27T12:02:06","modified_gmt":"2023-02-27T10:02:06","slug":"v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","title":{"rendered":"15 000 paquets pour phishing et spam identifi\u00e9s dans NPM.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une attaque a \u00e9t\u00e9 signal\u00e9e contre les utilisateurs du catalogue NPM, entra\u00eenant, le 20 f\u00e9vrier, la publication de plus de 15 000 paquets dans le d\u00e9p\u00f4t NPM, dont les fichiers README contenaient des liens vers des sites de phishing ou des liens de parrainage pour lesquels des commissions \u00e9taient vers\u00e9es. Au cours de l'analyse, 190 liens de phishing ou publicitaires uniques ont \u00e9t\u00e9 d\u00e9tect\u00e9s dans les paquets, couvrant 31 domaines diff\u00e9rents. <\/p>\n
Les noms des packages ont \u00e9t\u00e9 choisis pour susciter l'int\u00e9r\u00eat du grand public, par exemple, \u00abfree-tiktok-followers\u00bb, \u00abfree-xbox-codes\u00bb, \u00abinstagram-followers-free\u00bb, etc. Le calcul \u00e9tait bas\u00e9 sur le remplissage de la liste des mises \u00e0 jour r\u00e9centes sur la page d'accueil de NPM avec des packages ind\u00e9sirables. Dans les descriptions des packages, des liens \u00e9taient fournis, promettant des distributions gratuites, des cadeaux, des cheats de jeux, ainsi que des services gratuits pour augmenter le nombre d'abonn\u00e9s et de 'likes' sur les r\u00e9seaux sociaux tels que TikTok et Instagram. Ce n'est pas la premi\u00e8re attaque de ce type, en d\u00e9cembre, 144 000 packages ind\u00e9sirables avaient \u00e9t\u00e9 publi\u00e9s dans les catalogues NuGet, NPM et PyPi.
<\/center> <\/p>\n
Le contenu des paquets a \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9 automatiquement \u00e0 l'aide d'un script Python, qui apparemment a \u00e9t\u00e9 laiss\u00e9 dans les paquets par inadvertance et incluait des identifiants de connexion valides utilis\u00e9s lors de l'attaque. Les paquets ont \u00e9t\u00e9 publi\u00e9s sous de nombreux comptes diff\u00e9rents \u00e0 l'aide de m\u00e9thodes rendant difficile le tra\u00e7age des traces et l'identification rapide des paquets probl\u00e9matiques. <\/p>\n
En plus des activit\u00e9s frauduleuses dans les d\u00e9p\u00f4ts NPM et PyPi, plusieurs tentatives de publication de paquets malveillants ont \u00e9galement \u00e9t\u00e9 identifi\u00e9es : <\/p>\n
\n
Le d\u00e9p\u00f4t PyPI a identifi\u00e9 451 paquets malveillants qui se cachaient derri\u00e8re certaines biblioth\u00e8ques populaires en utilisant le type-squatting (attribution de noms similaires, diff\u00e9renci\u00e9s par des caract\u00e8res sp\u00e9cifiques, par exemple, vper au lieu de vyper, bitcoinnlib au lieu de bitcoinlib, ccryptofeed au lieu de cryptofeed, ccxtt au lieu de ccxt, cryptocommpare au lieu de cryptocompare, seleium au lieu de selenium, pinstaller au lieu de pyinstaller, etc.). Les paquets contenaient du code obfusqu\u00e9 destin\u00e9 \u00e0 voler des cryptomonnaies, qui d\u00e9tectait la pr\u00e9sence d'identifiants de portefeuilles de cryptomonnaies dans le presse-papiers et les rempla\u00e7ait par le portefeuille de l'attaquant (il est suppos\u00e9 que lors du paiement, la victime ne remarquerait pas la diff\u00e9rence dans le num\u00e9ro de portefeuille transf\u00e9r\u00e9 par le presse-papiers). Le remplacement \u00e9tait effectu\u00e9 par une extension int\u00e9gr\u00e9e au navigateur, qui s'ex\u00e9cutait dans le contexte de chaque page web consult\u00e9e.\n
Une s\u00e9rie de biblioth\u00e8ques HTTP malveillantes a \u00e9t\u00e9 identifi\u00e9e dans le d\u00e9p\u00f4t PyPI. Une activit\u00e9 malveillante a \u00e9t\u00e9 trouv\u00e9e dans 41 paquets, dont les noms \u00e9taient choisis en utilisant des techniques de type-squatting et ressemblaient \u00e0 des biblioth\u00e8ques populaires (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, etc.). Le contenu \u00e9tait stylis\u00e9 comme des biblioth\u00e8ques HTTP fonctionnelles ou copi\u00e9 \u00e0 partir de biblioth\u00e8ques existantes, tandis que la description contenait des affirmations sur les avantages et des comparaisons avec des biblioth\u00e8ques HTTP l\u00e9gitimes. L'activit\u00e9 malveillante consistait soit \u00e0 t\u00e9l\u00e9charger des logiciels malveillants sur le syst\u00e8me, soit \u00e0 collecter et envoyer des donn\u00e9es sensibles.\n
Dans NPM, 16 paquets JavaScript (speedte*, trova*, lagra) ont \u00e9t\u00e9 identifi\u00e9s, qui, en plus de la fonctionnalit\u00e9 annonc\u00e9e (test de bande passante), contenaient \u00e9galement du code pour miner des cryptomonnaies \u00e0 l'insu de l'utilisateur.\n
![\"15](\"\/wp-content\/uploads\/2023\/02\/434214f596ba6d4174a3f0a8eae982e4.jpg\")
<\/center> <\/p>\n