{"id":102213,"date":"2021-11-05T03:36:51","date_gmt":"2021-11-05T01:36:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-paket-coa-naschityvayushhij-9-mln-zagruzok-v-nedelyu-vnedreno-vredonosnoe-po"},"modified":"2021-11-05T03:36:51","modified_gmt":"2021-11-05T01:36:51","slug":"v-npm-paket-coa-naschityvayushhij-9-mln-zagruzok-v-nedelyu-vnedreno-vredonosnoe-po","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-npm-paket-coa-naschityvayushhij-9-mln-zagruzok-v-nedelyu-vnedreno-vredonosnoe-po","title":{"rendered":"Nel pacchetto NPM coa, che registra 9 milioni di download a settimana, \u00e8 stato inserito del malware.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Gli aggressori sono riusciti a ottenere il controllo del pacchetto NPM coa e a rilasciare gli aggiornamenti 2.0.3, 2.0.4, 2.1.1, 2.1.3 e 3.1.3, che contengono modifiche dannose. Il pacchetto coa, che fornisce funzioni per l'analisi degli argomenti da riga di comando, registra circa 9 milioni di download a settimana ed \u00e8 utilizzato come dipendenza in 159 altri pacchetti NPM, tra cui react-scripts e vue\/cli-service. L'amministrazione di NPM ha gi\u00e0 rimosso la versione con le modifiche dannose e ha bloccato la pubblicazione di nuove versioni fino al ripristino dell'accesso al repository del principale sviluppatore. <\/p>\n
L'attacco \u00e8 stato effettuato tramite l'hacking dell'account dello sviluppatore del progetto. Le modifiche dannose aggiunte sono simili a quelle utilizzate nell'attacco avvenuto due settimane fa contro gli utenti del pacchetto NPM UAParser.js, ma si sono limitate a colpire solo la piattaforma Windows (nei blocchi di download per Linux e macOS sono state lasciate delle placeholder vuote). Un file eseguibile veniva caricato e avviato su un sistema utente da un host esterno per eseguire il mining della criptovaluta Monero (veniva usato il miner XMRig) e veniva installata una libreria per il furto delle password. <\/p>\n
Si \u00e8 verificato un errore durante la creazione del pacchetto contenente codice malevolo, che ha causato un malfunzionamento nell'installazione del pacchetto. Pertanto, il problema \u00e8 stato rapidamente identificato e la diffusione dell'aggiornamento dannoso \u00e8 stata bloccata in una fase precoce. L'utente dovrebbe assicurarsi di avere installata la versione coa 2.0.2 e, se possibile, aggiungere nel package.json dei propri progetti un vincolo alla versione funzionante nel caso di una futura compromissione. npm e yarn: \"resolutions\": { \"coa\": \"2.0.2\" }, pnpm: \"pnpm\": { \"overrides\": { \"coa\": \"2.0.2\" } } \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"