Napadačima je uspjelo preuzeti kontrolu nad NPM paketom coa i objaviti ažuriranja 2.0.3, 2.0.4, 2.1.1, 2.1.3 i 3.1.3, koja sadrže zloćudne promjene. Paket coa, koji pruža funkcionalnosti za analiziranje argumenata naredbene linije, ima oko 9 milijuna preuzimanja tjedno i koristi se kao ovisnost u 159 drugih NPM paketa, uključujući react-scripts i vue/cli-service. Administracija NPM već je uklonila izdanja sa zloćudnim promjenama i blokirala objavu novih verzija do povratka pristupa glavnom repozitoriju.
Napad je proveden putem hakiranja računa developera projekta. Dodane zloćudne promjene slične su onima koje su korištene u napadu na korisnike NPM paketa UAParser.js prije dva tjedna, ali su se ograničile samo na platformu Windows (u preuzimanjima za Linux i macOS ostavljene su prazne oznake). Na sustav korisnika s vanjskog hosta preuziman je i pokretan izvršni program za izvršenje rudarenja kriptovaluta Monero (koristio se rudarski alat XMRig) i instalirana je biblioteka za presretanje lozinki.
Prilikom kreiranja paketa sa zloćudnim kodom došlo je do greške koja je uzrokovala neuspjeh prilikom instalacije paketa, stoga je problem brzo otkriven i širenje zloćudnog ažuriranja blokirano u ranoj fazi. Korisnici bi trebali osigurati da imaju instaliranu verziju coa 2.0.2 i poželjno je u package.json svojih projekata dodati vezu na radnu verziju u slučaju ponovne kompromitacije. npm i yarn: "resolutions": { "coa": "2.0.2" }, pnpm: "pnpm": { "overrides": { "coa": "2.0.2" }},
Izvor: opennet.ru
