I malintenzionati sono riusciti a ottenere il controllo del pacchetto NPM coa e a rilasciare aggiornamenti 2.0.3, 2.0.4, 2.1.1, 2.1.3 e 3.1.3, contenenti modifiche dannose. Il pacchetto coa, che fornisce funzioni per l'analisi degli argomenti da riga di comando, conta circa 9 milioni di download a settimana ed è utilizzato come dipendenza da 159 altri pacchetti NPM, tra cui react-scripts e vue/cli-service. L'amministrazione di NPM ha già rimosso il rilascio con modifiche dannose e bloccato la pubblicazione di nuove versioni fino al ripristino dell'accesso al repository del principale sviluppatore.
L'attacco è stato effettuato attraverso l'hacking dell'account dello sviluppatore del progetto. Le modifiche dannose aggiunte sono simili a quelle utilizzate nell'attacco effettuato due settimane fa agli utenti del pacchetto NPM UAParser.js, ma si sono limitate a colpire solo la piattaforma Windows (nei blocchi di download per Linux e macOS sono state lasciate delle riserve vuote). Sulla macchina dell'utente veniva caricato e avviato un eseguibile da un host esterno per eseguire il mining della criptovaluta Monero (veniva utilizzato il miner XMRig) e veniva installata una libreria per la cattura delle password.
Nella creazione del pacchetto contenente codice dannoso si è verificato un errore che causava un fallimento durante l'installazione del pacchetto, quindi il problema è stato identificato rapidamente e la diffusione dell'aggiornamento dannoso è stata bloccata in una fase iniziale. Gli utenti dovrebbero assicurarsi di avere installata la versione coa 2.0.2 e, preferibilmente, aggiungere nel package.json dei loro progetti un vincolo alla versione funzionante, in caso di una nuova compromissione. npm e yarn: «resolutions»: { «coa»: «2.0.2» }, pnpm: «pnpm»: { «overrides»: { «coa»: «2.0.2» } },
Fonte: opennet.ru
