{"id":102213,"date":"2021-11-05T03:36:51","date_gmt":"2021-11-05T01:36:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-paket-coa-naschityvayushhij-9-mln-zagruzok-v-nedelyu-vnedreno-vredonosnoe-po"},"modified":"2021-11-05T03:36:51","modified_gmt":"2021-11-05T01:36:51","slug":"v-npm-paket-coa-naschityvayushhij-9-mln-zagruzok-v-nedelyu-vnedreno-vredonosnoe-po","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/v-npm-paket-coa-naschityvayushhij-9-mln-zagruzok-v-nedelyu-vnedreno-vredonosnoe-po","title":{"rendered":"Nel pacchetto NPM coa, che conta 9 milioni di download a settimana, \u00e8 stato inserito un malware","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I malintenzionati sono riusciti a ottenere il controllo del pacchetto NPM coa e a rilasciare aggiornamenti 2.0.3, 2.0.4, 2.1.1, 2.1.3 e 3.1.3, contenenti modifiche dannose. Il pacchetto coa, che fornisce funzioni per l'analisi degli argomenti da riga di comando, conta circa 9 milioni di download a settimana ed \u00e8 utilizzato come dipendenza da 159 altri pacchetti NPM, tra cui react-scripts e vue\/cli-service. L'amministrazione di NPM ha gi\u00e0 rimosso il rilascio con modifiche dannose e bloccato la pubblicazione di nuove versioni fino al ripristino dell'accesso al repository del principale sviluppatore. <\/p>\n
L'attacco \u00e8 stato effettuato attraverso l'hacking dell'account dello sviluppatore del progetto. Le modifiche dannose aggiunte sono simili a quelle utilizzate nell'attacco effettuato due settimane fa agli utenti del pacchetto NPM UAParser.js, ma si sono limitate a colpire solo la piattaforma Windows (nei blocchi di download per Linux e macOS sono state lasciate delle riserve vuote). Sulla macchina dell'utente veniva caricato e avviato un eseguibile da un host esterno per eseguire il mining della criptovaluta Monero (veniva utilizzato il miner XMRig) e veniva installata una libreria per la cattura delle password. <\/p>\n
Durante la creazione del pacchetto contenente codice dannoso, si \u00e8 verificato un errore che ha causato un malfunzionamento nell'installazione del pacchetto; pertanto, il problema \u00e8 stato rapidamente rilevato e la diffusione dell'aggiornamento dannoso \u00e8 stata bloccata in una fase precoce. Gli utenti devono assicurarsi di avere installata la versione coa 2.0.2 e, preferibilmente, aggiungere nel package.json dei loro progetti un vincolo alla versione funzionante nel caso di una nuova compromissione. npm e yarn: \u00abresolutions\u00bb: { \u00abcoa\u00bb: \u00ab2.0.2\u00bb }, pnpm: \u00abpnpm\u00bb: { \u00aboverrides\u00bb: { \u00abcoa\u00bb: \u00ab2.0.2\u00bb } } \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"