एनपीएम को 15 फ़िशिंग और स्पैम पैकेज मिले

एनपीएम निर्देशिका के उपयोगकर्ताओं पर एक हमला दर्ज किया गया था, जिसके परिणामस्वरूप, 20 फरवरी को, एनपीएम रिपॉजिटरी में 15 हजार से अधिक पैकेज रखे गए थे, जिनमें से रीडमी फाइलों में फ़िशिंग साइटों या रेफरल लिंक के लिंक थे। रॉयल्टी का भुगतान किया गया. पैकेजों के विश्लेषण से 190 डोमेन को कवर करने वाले 31 अद्वितीय फ़िशिंग या प्रचार लिंक का पता चला।

आम आदमी की रुचि को आकर्षित करने के लिए पैकेज नाम चुने गए, उदाहरण के लिए, "फ्री-टिकटॉक-फॉलोअर्स" "फ्री-एक्सबॉक्स-कोड", "इंस्टाग्राम-फॉलोअर्स-फ्री", आदि। गणना मुख्य एनपीएम पृष्ठ पर हाल के अपडेट की सूची को स्पैम पैकेजों से भरने के लिए की गई थी। पैकेजों के विवरण में मुफ्त उपहार, उपहार, गेम चीट्स और टिकटॉक और इंस्टाग्राम जैसे सोशल नेटवर्क पर फॉलोअर्स और लाइक पाने के लिए मुफ्त सेवाओं का वादा करने वाले लिंक शामिल थे। यह इस तरह का पहला हमला नहीं है; दिसंबर में NuGet, NPM और PyPi निर्देशिकाओं में 144 हजार स्पैम पैकेज प्रकाशित किए गए थे।

पैकेजों की सामग्री स्वचालित रूप से एक पायथन स्क्रिप्ट का उपयोग करके उत्पन्न की गई थी, जिसे स्पष्ट रूप से एक निरीक्षण द्वारा पैकेजों में छोड़ दिया गया था और इसमें हमले के दौरान उपयोग किए गए कार्यशील क्रेडेंशियल शामिल थे। पैकेजों को कई अलग-अलग खातों के तहत उन तरीकों का उपयोग करके प्रकाशित किया गया है, जिससे निशान को सुलझाना और समस्याग्रस्त पैकेजों की तुरंत पहचान करना मुश्किल हो जाता है।

धोखाधड़ी गतिविधियों के अलावा, NPM और PyPi रिपॉजिटरी में दुर्भावनापूर्ण पैकेज प्रकाशित करने के कई प्रयासों की भी पहचान की गई है:

• PyPI रिपॉजिटरी में 451 दुर्भावनापूर्ण पैकेज पाए गए, जो टाइपक्वाटिंग (समान नाम निर्दिष्ट करना जो अलग-अलग वर्णों में भिन्न होते हैं, उदाहरण के लिए, वाइपर के बजाय vper, बिटकॉइनलिब के बजाय बिटकॉइनलिब, क्रिप्टोफीड के बजाय क्रिप्टोफीड, क्रिप्टोफीड के बजाय सीसीएक्सटीटी) का उपयोग करके कुछ लोकप्रिय पुस्तकालयों के रूप में प्रच्छन्न थे। ccxt, क्रिप्टोकंपेयर के बजाय क्रिप्टोकंपेयर, सेलेनियम के बजाय सेलेनियम, पायइंस्टॉलर के बजाय पिनइंस्टॉलर, आदि)। पैकेज में क्रिप्टोकरेंसी चुराने के लिए अस्पष्ट कोड शामिल था, जो क्लिपबोर्ड में क्रिप्टो-वॉलेट आईडी की उपस्थिति निर्धारित करता था और उन्हें हमलावर के वॉलेट में बदल देता था (यह माना जाता है कि भुगतान करते समय, पीड़ित को यह ध्यान नहीं आएगा कि वॉलेट नंबर के माध्यम से स्थानांतरित किया गया है) क्लिपबोर्ड अलग है)। प्रतिस्थापन एक ब्राउज़र ऐड-ऑन द्वारा किया गया था जो देखे गए प्रत्येक वेब पेज के संदर्भ में किया गया था।
• PyPI रिपॉजिटरी में दुर्भावनापूर्ण HTTP लाइब्रेरीज़ की एक श्रृंखला की पहचान की गई है। 41 पैकेजों में दुर्भावनापूर्ण गतिविधि पाई गई, जिनके नाम टाइपक्वाटिंग विधियों का उपयोग करके चुने गए थे और लोकप्रिय लाइब्रेरी (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, आदि) से मिलते जुलते थे। स्टफिंग को कार्यशील HTTP लाइब्रेरीज़ या मौजूदा लाइब्रेरीज़ से कॉपी किए गए कोड की तरह दिखने के लिए स्टाइल किया गया था, और विवरण में वैध HTTP लाइब्रेरीज़ के साथ लाभ और तुलना के बारे में दावे किए गए थे। दुर्भावनापूर्ण गतिविधि या तो सिस्टम पर मैलवेयर डाउनलोड करने या संवेदनशील डेटा एकत्र करने और भेजने तक सीमित थी।
• एनपीएम ने 16 जावास्क्रिप्ट पैकेज (स्पीडटे*, ट्रोवा*, लैग्रा) की पहचान की, जिसमें घोषित कार्यक्षमता (थ्रूपुट परीक्षण) के अलावा, उपयोगकर्ता की जानकारी के बिना क्रिप्टोकरेंसी खनन के लिए कोड भी शामिल था।
• एनपीएम ने 691 दुर्भावनापूर्ण पैकेजों की पहचान की। अधिकांश समस्याग्रस्त पैकेजों में यैंडेक्स प्रोजेक्ट (यांडेक्स-लॉगर-सेंट्री, यैंडेक्स-लॉगर-क्लाउड, यैंडेक्स-सेंड्सम्स, आदि) होने का दिखावा किया गया था और इसमें बाहरी सर्वर पर गोपनीय जानकारी भेजने के लिए कोड शामिल था। यह माना जाता है कि जिन लोगों ने पैकेज रखे थे, उन्होंने यैंडेक्स में प्रोजेक्ट बनाते समय (आंतरिक निर्भरता को प्रतिस्थापित करने की विधि) अपनी निर्भरता का प्रतिस्थापन प्राप्त करने का प्रयास किया था। PyPI रिपॉजिटरी में, उन्हीं शोधकर्ताओं को अस्पष्ट दुर्भावनापूर्ण कोड के साथ 49 पैकेज (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, आदि) मिले जो बाहरी सर्वर से एक निष्पादन योग्य फ़ाइल को डाउनलोड और लॉन्च करते हैं।

स्रोत: opennet.ru