Chaidh baidse ùr de phasganan droch-rùnach NPM a chaidh a chruthachadh airson ionnsaighean cuimsichte air na companaidhean Gearmailteach Bertelsmann, Bosch, Stihl agus DB Schenker fhoillseachadh. Bidh an ionnsaigh a’ cleachdadh an dòigh measgachadh eisimeileachd, a bhios a’ làimhseachadh eadar-ghearradh ainmean eisimeileachd ann an stòran poblach agus a-staigh. Ann an tagraidhean a tha rim faighinn gu poblach, bidh luchd-ionnsaigh a’ lorg lorgan ruigsinneachd air pasganan NPM a-staigh a chaidh a luchdachadh sìos bho stòran corporra, agus an uairsin cuiridh iad pacaidean leis na h-aon ainmean agus àireamhan dreach nas ùire ann an stòr poblach NPM. Mura h-eil na leabharlannan a-staigh ceangailte gu soilleir ris an stòr aca anns na roghainnean aig àm co-chruinneachaidh, bidh manaidsear pacaid npm den bheachd gu bheil an stòr poblach na phrìomhachas nas àirde agus bidh e a’ luchdachadh sìos a ’phacaid a dh’ ullaich an neach-ionnsaigh.
Eu-coltach ri oidhirpean a chaidh a chlàradh roimhe gus pacaidean a-staigh a spoof, mar as trice air an dèanamh le luchd-rannsachaidh tèarainteachd gus duaisean fhaighinn airson a bhith a’ comharrachadh so-leòntachd ann am bathar chompanaidhean mòra, chan eil fiosan anns na pasganan a chaidh an lorg mu dheuchainnean agus tha iad a’ toirt a-steach còd droch-rùnach obrach obfuscated a bhios a’ luchdachadh sìos agus a’ ruith a cùl-raon airson smachd iomallach air an t-siostam air a bheil buaidh.
Chan eilear ag aithris air an liosta choitcheann de phasganan a bha an sàs san ionnsaigh; mar eisimpleir, chan eil ach na pacaidean gxm-reference-web-auth-server, ldtzstxwzpntxqn agus lznfjbhurpjsqmr air an ainmeachadh, a chaidh a phostadh fon chunntas boschnodemodules ann an stòr NPM le dreach nas ùire. àireamhan 0.5.70 agus 4.0.49 na na pasganan tùsail a-staigh. Chan eil e soilleir fhathast ciamar a fhuair an luchd-ionnsaigh a-mach ainmean agus dreachan leabharlannan a-staigh nach eil air an ainmeachadh ann an stòran fosgailte. Thathas den bheachd gun deach am fiosrachadh fhaighinn mar thoradh air aodion fiosrachaidh a-staigh. Thuirt luchd-rannsachaidh a bha a’ cumail sùil air foillseachadh phasganan ùra do rianachd an NPM gun deach pasganan droch-rùnach a chomharrachadh 4 uairean às deidh am foillseachadh.
Ùrachadh: Thuirt Code White gun deach an ionnsaigh a dhèanamh leis an neach-obrach aige mar phàirt de shamhlachadh co-òrdanaichte de ionnsaigh air bun-structar teachdaiche. Rè an deuchainn, chaidh gnìomhan fìor luchd-ionnsaigh a shamhlachadh gus deuchainn a dhèanamh air èifeachdas nan ceumannan tèarainteachd a chaidh a chuir an gnìomh.
Source: fosgailtenet.ru