Bidh NPM a’ lorg 15 pasgan fiasgach is spama

Chaidh ionnsaigh air luchd-cleachdaidh an eòlaire NPM a chlàradh, agus mar thoradh air an sin, air 20 Gearran, chaidh còrr air 15 mìle pasgan a chuir ann an stòr NPM, anns na faidhlichean README aig an robh ceanglaichean gu làraich fiasgach no ceanglaichean tar-chuir airson an robh chaidh airgead-dìolaidh a phàigheadh. Nochd mion-sgrùdadh air na pacaidean 190 ceangal fiasgach no brosnachaidh gun samhail a’ còmhdach 31 raon.

Chaidh ainmean pacaid a thaghadh gus ùidh an neach-laighe a tharraing, mar eisimpleir, “free-tiktok-followers” ​​“free-xbox-codes”, “instagram-followers-free”, msaa. Chaidh an àireamhachadh a dhèanamh gus liosta nan ùrachaidhean o chionn ghoirid air prìomh dhuilleag NPM a lìonadh le pasganan spama. Anns na tuairisgeulan air na pacaidean bha ceanglaichean a’ gealltainn tabhartasan an-asgaidh, tiodhlacan, mealltairean geama, agus seirbheisean an-asgaidh gus luchd-leantainn is toil fhaighinn air lìonraidhean sòisealta leithid TikTok agus Instagram. Chan e seo a’ chiad ionnsaigh den leithid; san Dùbhlachd, chaidh 144 mìle pasgan spam fhoillseachadh ann an clàran NuGet, NPM agus PyPi.

Chaidh susbaint nam pasganan a chruthachadh gu fèin-ghluasadach le bhith a’ cleachdadh sgriobt python, a bha, a rèir coltais, air fhàgail anns na pacaidean le sùil thairis air agus a’ toirt a-steach na teisteanasan obrach a chaidh a chleachdadh rè an ionnsaigh. Chaidh pacaidean fhoillseachadh fo iomadh cunntas eadar-dhealaichte a’ cleachdadh dhòighean a tha ga dhèanamh duilich an t-slighe fhuasgladh agus pasganan trioblaideach a chomharrachadh gu sgiobalta.

A bharrachd air gnìomhan meallta, chaidh grunn oidhirpean gus pasganan droch-rùnach fhoillseachadh cuideachd ann an stòran NPM agus PyPi:

• Chaidh pasganan droch-rùnach 451 a lorg ann an stòr PyPI, a bha air am falach mar cuid de leabharlannan mòr-chòrdte a’ cleachdadh typequatting (a ’sònrachadh ainmean coltach ri chèile a tha eadar-dhealaichte ann an caractaran fa leth, mar eisimpleir, vper an àite vyper, bitcoinnlib an àite bitcoinlib, ccryptofeed an àite cryptofeed, ccxtt an àite ccxt, cryptocompare an àite cryptocompare, seleium an àite selenium, pinstaller an àite pyinstaller, msaa). Bha na pacaidean a’ toirt a-steach còd obfuscated airson a bhith a’ goid cryptocurrencies, a cho-dhùin làthaireachd IDan wallet crypto anns a ’bhòrd bhidio agus a dh’ atharraich iad gu wallet an neach-ionnsaigh (thathar a ’gabhail ris nuair a bhios e a’ pàigheadh, nach toir an neach-fulang an aire gu bheil an àireamh wallet air a ghluasad tron ​​​​bhòrd bhidio. tha e eadar-dhealaichte). Chaidh an ionadachadh a dhèanamh le tuilleadan brobhsair a chaidh a dhèanamh ann an co-theacsa gach duilleag lìn air an deach coimhead.
• Chaidh sreath de leabharlannan HTTP droch-rùnach a chomharrachadh ann an stòr PyPI. Chaidh gnìomhachd droch-rùnach a lorg ann am pasganan 41 aig an deach na h-ainmean aca a thaghadh a’ cleachdadh dòighean-obrach seòrsa cuaraidh agus a bha coltach ri leabharlannan mòr-chòrdte (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, msaa). Bha an stuth air a dhealbhadh gus a bhith coltach ri leabharlannan HTTP a bha ag obair no còd air a chopaigeadh bho leabharlannan a th’ ann mar-thà, agus rinn an tuairisgeul tagraidhean mu shochairean agus coimeas ri leabharlannan dligheach HTTP. Bha gnìomhachd droch-rùnach cuingealaichte ri bhith a’ luchdachadh sìos malware air an t-siostam no a’ cruinneachadh agus a’ cur dàta mothachail.
• Chomharraich NPM pasganan JavaScript 16 (speedte *, trova *, lagra), anns an robh, a bharrachd air a’ ghnìomhachd ainmichte (deuchainn throughput), còd airson mèinnearachd cryptocurrency gun fhios don neach-cleachdaidh.
• Chaidh 691 pasgan droch-rùnach a lorg ann an NPM. Bha a’ mhòr-chuid de na pasganan trioblaideach a’ dèanamh aithris air pròiseactan Yandex (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms, msaa.) agus bha còd annta airson fiosrachadh dìomhair a chur gu frithealaichean taobh a-muigh. frithealaicheanThathas a’ creidsinn gun robh an fheadhainn a chuir na pacaidean suas a’ feuchainn ri na h-eisimeileachdan aca fhèin a chur nan àite nuair a bha iad a’ togail phròiseactan ann an Yandex (dòigh air eisimeileachdan a-staigh a chur nan àite). Anns an stòr-dàta PyPI, lorg na h-aon luchd-rannsachaidh 49 pacaidean (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, msaa.) anns an robh còd droch-rùnach falaichte a bhios a’ luchdachadh sìos agus a’ ruith faidhle so-ghnìomhaichte bho fhrithealaiche taobh a-muigh. frithealaiche.

Source: fosgailtenet.ru