Támadást regisztráltak az NPM katalógus felhasználói ellen, amelynek következtében február 20-án több mint 15 ezer csomagot helyeztek el az NPM tárolójában, amelyek README fájljaiban hivatkozások szerepeltek phishing weboldalakra vagy referáló linkekre, amelyek után jutalékot fizetnek a kattintásokért. Az elemzés során a csomagokban 190 egyedi phishing vagy reklám linket azonosítottak, összesen 31 domainek körében.
A csomagok neveit úgy választották meg, hogy felkeltsék a közönség figyelmét, például 'ingyenes-tiktok-követők', 'ingyenes-xbox-kódok', 'instagram-követők-ingyen' stb. A cél az volt, hogy spamekkel töltsék fel a frissítési listát az NPM főoldalán. A csomagok leírásában olyan linkek szerepeltek, amelyek ingyenes ajándékokat, játékbeli csalásokat, valamint ingyenes szolgáltatásokat ajánlottak a közösségi média követők és lájkok növelésére, például TikTok és Instagram platformokon. Ez nem az első ilyen támadás, decemberben a NuGet, NPM és PyPi katalógusaiban 144 ezer spam csomag publikálásáról számoltak be.
A csomagok tartalmát automatikusan generálták egy python szkripttel, amely nyilvánvalóan figyelmetlenség folytán maradt a csomagokban, és tartalmazta a támadás során használt működő bejelentkezési adatokat. A csomagokat sok különböző fiók alatt publikálták úgy, hogy megnehezítették a nyomozási folyamatot és a problémás csomagok gyors azonosítását.
A NPM és a PyPi tárolókban a csalárd tevékenységek mellett több kísérletet is felfedeztek kártevő csomagok publikálására:
- A PyPI repository has found 451 malicious packages that disguised themselves as popular libraries through typoscoping (using similar names differing by individual characters, e.g., vper instead of vyper, bitcoinnlib instead of bitcoinlib, ccryptofeed instead of cryptofeed, ccxtt instead of ccxt, cryptocommpare instead of cryptocompare, seleium instead of selenium, pinstaller instead of pyinstaller, etc.). The packages contained obfuscated code to steal cryptocurrency, which identified the presence of cryptocurrency wallet identifiers in the clipboard and replaced them with the attacker's wallet (it is assumed that when the victim makes a payment, they will not notice that the wallet number copied to the clipboard is different). The substitution was carried out by a browser extension embedded in each visited web page's context.
- A series of malicious HTTP libraries has been identified in the PyPI repository. Malicious activity was found in 41 packages, whose names were selected using typosquatting methods and resembled popular libraries (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, etc.). The contents were styled to resemble working HTTP libraries or copied the code from existing libraries, while their descriptions made claims about advantages and comparisons with legitimate HTTP libraries. The malicious activity involved either downloading malware onto the system or collecting and sending confidential data.
- 16 JavaScript packages (speedte*, trova*, lagra) have been identified in NPM that, in addition to their stated functionality (throughput testing), also contained code for mining cryptocurrency without the user's knowledge.
- 691 malicious packages have been identified in NPM. Most of the problematic packages pretended to be Yandex projects (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms, etc.) and included code to send confidential information externally. szerverekIt is assumed that those who placed the packages attempted to achieve substitution of their own dependency during project builds in Yandex (an internal dependency substitution method). In the PyPI repository, the same researchers found 49 packages (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, etc.) with obfuscated malicious code that loads and executes an executable file from external sources. a szerver.
Forrás: opennet.ru
