Az NPM tárolójában rosszindulatú tevékenység figyelhető meg négy csomagban, amelyek preinstall-skripttel rendelkeznek, amely a csomag telepítése előtt a GitHubra küldött egy megjegyzést IP-címről, helyről, felhasználónévről, CPU-modelről és a felhasználó otthoni könyvtáráról. A rosszindulatú kódot a következő csomagokban találták (255 letöltés), (78 letöltés), (48 letöltés) és (37 letöltés).
A problémás csomagokat az NPM-ben augusztus 17. és 24. között tették közzé, és a következőképpen terjesztették , azaz olyan neveket kaptak, amelyek hasonlítanak más népszerű könyvtárak neveire, számítva arra, hogy a felhasználók elgépelnek egy nevet, vagy nem veszik észre a különbségeket, amikor modult választanak a listából. A letöltések száma alapján körülbelül 400 felhasználó esett áldozatul ennek a trükknek, többségük az electorn-t összekeverte az electron-nal. Jelenleg az electorn és a loadyaml csomagok az NPM adminisztrációja által eltávolításra kerültek, míg a lodashs és loadyml csomagokat az szerző távolította el.
A támadók motivációi ismeretlenek, de feltételezik, hogy a GitHubon keresztül történő információszivárgás (a megjegyzést egy Issue-n küldték el és 24 órán belül törölték) egy kísérlet része volt a módszer hatékonyságának értékelésére, vagy egy több szakaszos támadás terve volt, amelynek első szakaszában adatokat gyűjtöttek az áldozatokról, míg a második szakasz, amely nem valósult meg a blokkolás miatt, a támadók szándékában állt, hogy kiadjanak egy frissítést, amely egy új verzióban veszélyesebb rosszindulatú kódot vagy hátsó kaput tartalmazott.
Forrás: opennet.ru
