एनपीएम को 15 फ़िशिंग और स्पैम पैकेज मिले

एनपीएम निर्देशिका उपयोगकर्ताओं पर एक हमला दर्ज किया गया था, जिसके परिणामस्वरूप 20 फरवरी को एनपीएम रिपोजिटरी में 15 हजार से अधिक पैकेज रखे गए थे, जिनकी README फाइलों में फ़िशिंग साइटों या रेफरल लिंक के लिंक थे, जिन पर क्लिक करने पर रॉयल्टी का भुगतान किया जाता है। विश्लेषण के दौरान, पैकेजों में 190 अद्वितीय फ़िशिंग या विज्ञापन लिंक की पहचान की गई, जो 31 डोमेन को कवर करते थे।

पैकेजों के नाम आम लोगों की रुचि को आकर्षित करने के लिए चुने गए थे, उदाहरण के लिए, "फ्री-टिकटॉक-फॉलोअर्स", "फ्री-एक्सबॉक्स-कोड", "इंस्टाग्राम-फॉलोअर्स-फ्री", आदि। एनपीएम के मुख्य पृष्ठ पर हाल के अपडेट की सूची को स्पैम पैकेजों से भरने के लिए गणना की गई थी। पैकेजों के विवरण में मुफ्त उपहार, उपहार, गेम चीट, साथ ही TikTok और Instagram जैसे सोशल नेटवर्क पर सब्सक्राइबर और लाइक बढ़ाने के लिए मुफ्त सेवाओं का वादा करने वाले लिंक दिए गए थे। यह पहला ऐसा हमला नहीं है; दिसंबर में, NuGet, NPM और PyPi निर्देशिकाओं में 144 हज़ार स्पैम पैकेज प्रकाशित किए गए थे।

पैकेजों की सामग्री स्वचालित रूप से एक पायथन स्क्रिप्ट का उपयोग करके उत्पन्न की गई थी जो जाहिर तौर पर अनजाने में पैकेजों में छोड़ दी गई थी और इसमें हमले में इस्तेमाल किए गए कार्यशील क्रेडेंशियल शामिल थे। पैकेजों को कई अलग-अलग खातों के तहत प्रकाशित किया गया था, ऐसी तकनीकों का उपयोग करके जो ट्रैक को खोलना और समस्याग्रस्त पैकेजों को जल्दी से पहचानना मुश्किल बनाते हैं।

धोखाधड़ी गतिविधि के अलावा, NPM और PyPi रिपॉजिटरी में दुर्भावनापूर्ण पैकेज प्रकाशित करने के कई प्रयास भी पाए गए हैं:

• PyPI रिपोजिटरी में 451 दुर्भावनापूर्ण पैकेज पाए गए, जो टाइपोस्क्वैटिंग (समान नाम निर्दिष्ट करना जो अलग-अलग वर्णों में भिन्न होते हैं, उदाहरण के लिए, vyper के बजाय vper, bitcoinlib के बजाय bitcoinnlib, cryptofeed के बजाय ccryptofeed, ccxt के बजाय ccxtt, cryptocompare के बजाय cryptocommpare, selenium के बजाय seleium, pyinstaller के बजाय pinstaller, आदि) का उपयोग करके खुद को कुछ लोकप्रिय पुस्तकालयों के रूप में प्रच्छन्न करते हैं। पैकेज में क्रिप्टोक्यूरेंसी चोरी करने के लिए अस्पष्ट कोड शामिल था, जिसने क्लिपबोर्ड में क्रिप्टो वॉलेट पहचानकर्ताओं की उपस्थिति का पता लगाया और उन्हें हमलावर के वॉलेट से बदल दिया (यह माना जाता है कि भुगतान करते समय, पीड़ित को यह ध्यान नहीं होगा कि क्लिपबोर्ड के माध्यम से स्थानांतरित वॉलेट नंबर अलग है)। प्रतिस्थापन एक एम्बेडेड ब्राउज़र ऐड-ऑन द्वारा किया गया था जिसे प्रत्येक देखे गए वेब पेज के संदर्भ में निष्पादित किया गया था।
• PyPI रिपोजिटरी में दुर्भावनापूर्ण HTTP लाइब्रेरीज़ की एक श्रृंखला पाई गई है। 41 पैकेजों में दुर्भावनापूर्ण गतिविधि पाई गई, जिनके नाम टाइपोस्क्वेटिंग विधियों का उपयोग करके चुने गए थे और लोकप्रिय लाइब्रेरीज़ (aio5, requestt, ulrlib, urllb, libhttps, piphttps, httpxv2, आदि) से मिलते जुलते थे। पेलोड को कार्यशील HTTP लाइब्रेरीज़ की तरह दिखने के लिए स्टाइल किया गया था या मौजूदा लाइब्रेरीज़ के कोड की नकल की गई थी, और विवरण में वैध HTTP लाइब्रेरीज़ के साथ लाभों और तुलनाओं के बारे में दावे शामिल थे। दुर्भावनापूर्ण गतिविधि में या तो सिस्टम पर मैलवेयर डाउनलोड करना या गोपनीय डेटा एकत्र करना और भेजना शामिल था।
• एनपीएम ने 16 जावास्क्रिप्ट पैकेजों (स्पीडटे*, ट्रोवा*, लैग्रा) की पहचान की, जिनमें उनकी बताई गई कार्यक्षमता (बैंडविड्थ परीक्षण) के अतिरिक्त, उपयोगकर्ता की जानकारी के बिना क्रिप्टोकरेंसी खनन के लिए कोड भी शामिल था।
• NPM में 691 दुर्भावनापूर्ण पैकेज पाए गए। इनमें से अधिकतर समस्याग्रस्त पैकेज यांडेक्स प्रोजेक्ट्स (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms, आदि) की नकल करते थे और इनमें गोपनीय जानकारी को बाहरी सर्वरों पर भेजने के लिए कोड शामिल था। серверыऐसा माना जाता है कि जिन लोगों ने ये पैकेज पोस्ट किए थे, वे Yandex में प्रोजेक्ट बनाते समय अपनी खुद की निर्भरताओं को प्रतिस्थापित करने का प्रयास कर रहे थे (आंतरिक निर्भरताओं को प्रतिस्थापित करने की एक विधि)। PyPI रिपॉजिटरी में, उन्हीं शोधकर्ताओं ने 49 पैकेज (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, आदि) पाए जिनमें अस्पष्ट दुर्भावनापूर्ण कोड था जो एक बाहरी सर्वर से निष्पादन योग्य फ़ाइल डाउनलोड और चलाता है। सर्वर.

स्रोत: opennet.ru