Nel repository NPM sono stati identificati 17 pacchetti dannosi, distribuiti tramite typing squatting, cioè assegnando nomi simili a quelli delle librerie popolari, con la speranza che l'utente commettesse errori di battitura durante l'inserimento del nome o non notasse le differenze mentre selezionava un modulo dall'elenco.
I pacchetti discord-selfbot-v14, discord-lofy, discordsystem e discord-vilao utilizzavano una versione modificata della legittima libreria discord.js, che fornisce funzionalità per interagire con l'API di Discord. I componenti dannosi erano integrati in uno dei file del pacchetto e includevano circa 4000 righe di codice, confuse tramite l'uso di nomi di variabili distorti, crittografia delle stringhe e violazione della formattazione del codice. Il codice eseguiva la scansione del sistema locale alla ricerca di token di Discord e, se ne scopriva, li inviava a server malintenzionati.
Il pacchetto fix-error era dichiarato come correttore di errori per Discord selfbot, ma includeva un'applicazione trojan denominata PirateStealer, utilizzata per rubare numeri di carte di credito e account associati a Discord. Il componente dannoso si attivava attraverso la sostituzione di codice JavaScript nel client di Discord.
Il pacchetto prerequests-xcode conteneva un trojan per la gestione dell'accesso remoto al sistema dell'utente, basato su un'applicazione Python chiamata DiscordRAT.
Si presume che l'accesso ai server di Discord potesse essere necessario ai criminali informatici per implementare punti di controllo del botnet, fungere da proxy per scaricare informazioni da sistemi compromessi, confondere le tracce durante la realizzazione di attacchi, distribuire malware tra gli utenti di Discord o rivendere account premium.
I pacchetti wafer-bind, wafer-autocomplete, wafer-beacon, wafer-caas, wafer-toggle, wafer-geolocation, wafer-image, wafer-form, wafer-lightbox, octavius-public e mrg-message-broker contenevano codice per inviare il contenuto delle variabili d'ambiente, che potevano includere, ad esempio, chiavi di accesso, token o password per sistemi di integrazione continua o ambienti cloud, come AWS.
Fonte: opennet.ru
