Az NPM adattárában 17 rosszindulatú csomagot fedeztek fel, amelyeket típuskidobással terjesztettek, azaz olyan neveket kaptak, amelyek hasonlítanak népszerű könyvtárak neveire, számítva arra, hogy a felhasználó elgépel egy nevet, vagy nem veszi észre a különbségeket, amikor egy modult választ a listából.
A discord-selfbot-v14, discord-lofy, discordsystem és discord-vilao csomagok módosított verzióját használták a jogszerű discord.js könyvtárnak, amely funkciókat biztosít a Discord API-val való interakcióhoz. A rosszindulatú összetevőket a csomag egyik fájljába integrálták, és körülbelül 4000 sor kódot tartalmaztak, amelyet a változónevek torzításával, a karakterláncok titkosításával és a kódformázás megsértésével bonyolítottak. A kód a helyi fájlrendszert szkennelte a Discord-tokenek után, és ha találkozott velük, elküldte azokat szerver támadókhoz küldték.
A fix-error csomag hibajavításként volt bejelentve a Discord selfbotban, de egy PirateStealer trójai alkalmazást tartalmazott, amely a hitelkártya- számok és a Discordhoz kapcsolódó fiókok ellopására szolgált. A rosszindulatú összetevő a JavaScript-kód helyettesítésével aktiválódott a Discord kliensben.
A prerequests-xcode csomag egy trójait tartalmazott, amely távoli hozzáférést biztosított a felhasználó rendszeréhez, egy Python-alkalmazás alapú DiscordRAT formájában.
Feltételezik, hogy a Discord szerverekhez való hozzáférésre lehet szükség a támadóknak botnet-irányítópontok telepítéséhez, proxy-ként a feltört rendszerekből történő információk letöltéséhez, a nyomok eltüntetéséhez támadások során, rosszindulatú programok terjesztéséhez a Discord felhasználói között, vagy prémium fiókok átkereskedésére.
A wafer-bind, wafer-autocomplete, wafer-beacon, wafer-caas, wafer-toggle, wafer-geolocation, wafer-image, wafer-form, wafer-lightbox, octavius-public és mrg-message-broker csomagok olyan kódot tartalmaztak, amely küldte a környezeti változók tartalmát, amelyek például tartalmazhatják az API-kulcsokat, tokeneket vagy a folyamatos integrációs rendszerekhez vagy felhő környezetekhez, mint az AWS, tartozó jelszavakat.
Forrás: opennet.ru
