A kiberbűnözőknek sikerült ellenőrzés alá vonniuk a coa NPM csomagot és kiadniuk a 2.0.3, 2.0.4, 2.1.1, 2.1.3 és 3.1.3 verziókat, amelyek rosszindulatú módosításokat tartalmaznak. A coa csomag, amely parancssori argumentumok elemzésére szolgáló funkciókat kínál, körülbelül 9 millió letöltést számol hetente, és 159 másik NPM csomag, köztük a react-scripts és a vue/cli-service függőségeként is használják. Az NPM adminisztrációja már eltávolította a rosszindulatú módosításokat tartalmazó kiadást, és blokkolta az új verziók publikálását, amíg a fő fejlesztő tárolójához való hozzáférés vissza nem tér.
A támadást a projekt fejlesztőjének fiókjának feltörésével hajtották végre. A hozzáadott rosszindulatú módosítások hasonlóak voltak azokhoz, amelyeket két héttel ezelőtt alkalmaztak az NPM csomag UAParser.js felhasználóival szembeni támadás során, de a támadás csak a Windows platformra korlátozódott (a Linux és macOS letöltési blokkok üres helyettesítőket tartalmaztak). A felhasználó rendszerére egy külső gazdagépről egy végrehajtható fájl került letöltésre és futtatásra a Monero kriptovaluta bányászásának elvégzéséhez (az XMRig bányászt használták), valamint egy jelszóelkapó könyvtár települt.
A rosszindulatú kódot tartalmazó csomag kialakítása során hiba lépett fel, amely telepítési hibát okozott, így a probléma gyorsan észlelhető volt, és a rosszindulatú frissítés terjedését korai szakaszban blokkolták. A felhasználóknak ellenőrizniük kell, hogy a coa 2.0.2 verziója telepítve van, és javasolt, hogy a package.json fájljukban rögzítsenek egy működő verziót a későbbi kompromittálódás elkerülése érdekében. npm és yarn: "resolutions": { "coa": "2.0.2" }, pnpm: "pnpm": { "overrides": { "coa": "2.0.2" } }.
Forrás: opennet.ru
