La storia della rimozione di tre pacchetti maligni dal repository NPM, che copiavano il codice della libreria UAParser.js, ha preso una piega inaspettata: criminali sconosciuti hanno preso il controllo dell'account dell'autore del progetto UAParser.js e hanno rilasciato aggiornamenti contenenti codice per il furto di password e il mining di criptovalute.
Il problema è che la libreria UAParser.js, che offre funzionalità per analizzare l'intestazione HTTP User-Agent, conta circa 8 milioni di download a settimana ed è utilizzata come dipendenza in oltre 1200 progetti. Si dice che UAParser.js venga impiegata in progetti di aziende come Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP e Verison.
L'attacco è avvenuto tramite l'hacking dell'account del sviluppatore del progetto, il quale si è accorto che c'era qualcosa di strano dopo un'insolita ondata di spam che ha invaso la sua casella di posta. Non è stato comunicato come sia stato compromesso l'account dello sviluppatore. Gli aggressori hanno creato le versioni 0.7.29, 0.8.0 e 1.0.0, inserendo al loro interno codice malevolo. In poche ore, gli sviluppatori hanno ripreso il controllo del progetto e hanno rilasciato aggiornamenti 0.7.30, 0.8.1 e 1.0.1 per risolvere il problema. Le versioni compromesse sono state pubblicate solo come pacchetti nel repository NPM. Il repository Git del progetto su GitHub non ha subito danni. Si consiglia a tutti gli utenti che hanno installato le versioni problematiche di considerare il sistema compromesso se trovano un file jsextension in Linux/macOS, o i file jsextension.exe e create.dll in Windows.
Le modifiche malevole aggiunte sembravano simili a quelle già proposte nei cloni di UAParser.js, che apparentemente erano state rilasciate per testare la funzionalità prima di un attacco su larga scala contro il progetto principale. Un file eseguibile jsextension veniva caricato e avviato su un sistema utente da un host esterno, selezionato in base alla piattaforma dell'utente e supportava il funzionamento in Linux, macOS e Windows. Per la piattaforma Windows, oltre al programma per il mining di criptovalute Monero (utilizzando il miner XMRig), gli aggressori avevano anche organizzato l'inserimento della libreria create.dll per intercettare le password e inviarle a un host esterno.
Il codice per il download è stato inserito nel file preinstall.sh, dove è comparsa l'istruzione IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') if [ -z "$IP" ] … download e avvio del file eseguibile fi
Come si può vedere dal codice, lo script controllava inizialmente l'indirizzo IP nel servizio freegeoip.app e non avviava l'applicazione malevola per gli utenti in Russia, Ucraina, Bielorussia e Kazakistan.
Fonte: opennet.ru
