Nel repository NPM sono stati individuati 25 pacchetti dannosi, che venivano distribuiti utilizzando il typo-squatting, cioè assegnando nomi simili a librerie popolari, con l'intento che l'utente commettesse un errore di battitura o non notasse le differenze mentre sceglieva un modulo dall'elenco.
- 17 pacchetti includevano codice dannoso per cercare token di Discord nel filesystem locale e inviarli a un server di malintenzionati. Nella maggior parte dei casi, le modifiche dannose erano camuffate tramite la fornitura di varianti modificate di librerie legittime come discord.js e colors.
- node-colors-sync
- color-self
- color-self-2
- lemaaa
- adv-discord-utility
- tools-for-discord
- purple-bitch
- purple-bitchs
- noblox.js-addons
- discord-selfbot-tools
- discord.js-aployscript-v11
- discord.js-selfbot-aployscript
- discord.js-selfbot-aployed
- discord.js-discord-selfbot-v4
- colors-beta
- vera.js
- discord-protection
- 5 pacchetti includevano codice per inviare il contenuto delle variabili ambientali, che, ad esempio, potevano includere chiavi di accesso, token o password per sistemi di integrazione continua o ambienti cloud, come AWS.
- wafer-text
- wafewafer-templater-countdown
- wafer-template
- wafer-darla
- mynewpkg
- 2 pacchetti (markedjs, crypto-standarts) contenevano un trojan per organizzare l'accesso remoto al sistema dell'utente, permettendo di eseguire codice arbitrario nel linguaggio Python (Python remote code injector).
- 1 pacchetto (kakakaakaaa11aa) conteneva un backdoor per il controllo remoto del sistema (Connectback shell).
Fonte: opennet.ru
