Gli aggressori sono riusciti a ottenere il controllo del pacchetto NPM coa e a rilasciare gli aggiornamenti 2.0.3, 2.0.4, 2.1.1, 2.1.3 e 3.1.3, che contengono modifiche dannose. Il pacchetto coa, che fornisce funzioni per l'analisi degli argomenti da riga di comando, registra circa 9 milioni di download a settimana ed è utilizzato come dipendenza in 159 altri pacchetti NPM, tra cui react-scripts e vue/cli-service. L'amministrazione di NPM ha già rimosso la versione con le modifiche dannose e ha bloccato la pubblicazione di nuove versioni fino al ripristino dell'accesso al repository del principale sviluppatore.
L'attacco è stato effettuato tramite l'hacking dell'account dello sviluppatore del progetto. Le modifiche dannose aggiunte sono simili a quelle utilizzate nell'attacco avvenuto due settimane fa contro gli utenti del pacchetto NPM UAParser.js, ma si sono limitate a colpire solo la piattaforma Windows (nei blocchi di download per Linux e macOS sono state lasciate delle placeholder vuote). Un file eseguibile veniva caricato e avviato su un sistema utente da un host esterno per eseguire il mining della criptovaluta Monero (veniva usato il miner XMRig) e veniva installata una libreria per il furto delle password.
Durante la creazione di un pacchetto con codice dannoso si è verificato un errore che causava un malfunzionamento nell'installazione del pacchetto; pertanto, il problema è stato prontamente identificato e la diffusione dell'aggiornamento dannoso è stata bloccata in una fase iniziale. Gli utenti devono assicurarsi di avere installata la versione coa 2.0.2 e si raccomanda di aggiungere nel file package.json dei propri progetti un vincolo alla versione stabile nel caso di una nuova compromissione. npm e yarn: "resolutions": { "coa": "2.0.2" }, pnpm: "pnpm": { "overrides": { "coa": "2.0.2" } }
Fonte: opennet.ru
