{"id":106945,"date":"2023-02-26T12:49:02","date_gmt":"2023-02-26T10:49:03","guid":{"rendered":"https:\/\/prohoster.info\/?p=106945"},"modified":"2023-02-27T12:02:06","modified_gmt":"2023-02-27T10:02:06","slug":"v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","title":{"rendered":"In NPM sono stati identificati 15.000 pacchetti per phishing e spam","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata registrata un'attacco agli utenti del catalogo NPM, durante il quale il 20 febbraio sono stati pubblicati nel repository NPM pi\u00f9 di 15.000 pacchetti, nei file README dei quali erano presenti link a siti di phishing o link referral che prevedevano commissioni per i clic. Durante l'analisi dei pacchetti sono state identificate 190 link unici di phishing o pubblicitari, coprendo 31 domini. <\/p>\n
I nomi dei pacchetti sono stati scelti per attirare l'interesse del pubblico, ad esempio, \u00abfree-tiktok-followers\u00bb, \u00abfree-xbox-codes\u00bb, \u00abinstagram-followers-free\u00bb e simili. L'obiettivo era riempire la lista degli aggiornamenti recenti sulla homepage di NPM con pacchetti di spam. Nelle descrizioni dei pacchetti erano forniti link promettenti distribuzioni gratuite, regali, cheat per i giochi, oltre a servizi gratuiti per aumentare iscritti e like sui social network, come TikTok e Instagram. Non \u00e8 la prima volta che si verifica un attacco simile; a dicembre erano stati pubblicati 144.000 pacchetti spam nei cataloghi NuGet, NPM e PyPi.
<\/center> <\/p>\n
I contenuti dei pacchetti sono stati generati automaticamente utilizzando uno script Python, che evidentemente per svista \u00e8 stato lasciato nei pacchetti e includeva credenziali di lavoro utilizzate durante l'attacco. I pacchetti sono stati pubblicati sotto numerosi account diversi con metodi che complicano il tracciamento e l'identificazione rapida dei pacchetti problematici. <\/p>\n
Oltre alle azioni fraudolente, sono state identificate anche diverse tentativi di pubblicazione di pacchetti malevoli nei repository NPM e PyPi: <\/p>\n
\n
Nel repository PyPI sono stati trovati 451 pacchetti malevoli, che si mascheravano da alcune librerie popolari attraverso il typosquatting (assegnazione di nomi simili, differenti per alcuni caratteri, ad esempio, vper invece di vyper, bitcoinnlib invece di bitcoinlib, ccryptofeed invece di cryptofeed, ccxtt invece di ccxt, cryptocommpare invece di cryptocompare, seleium invece di selenium, pinstaller invece di pyinstaller e cos\u00ec via). I pacchetti comprendevano codice offuscato per rubare criptovalute, che identificava la presenza di identificatori di portafogli di criptovalute negli appunti e li sostituiva con quello dell'attaccante (si presume che durante il pagamento la vittima non noti che il numero del portafoglio copiato \u00e8 diverso). La sostituzione avveniva attraverso un'estensione del browser eseguita nel contesto di ogni pagina web visitata.\n
Nel repository PyPI \u00e8 stata identificata una serie di librerie HTTP malevole. L'attivit\u00e0 malevola \u00e8 stata trovata in 41 pacchetti, i cui nomi erano selezionati utilizzando tecniche di typosquatting e ricordavano librerie popolari (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 e cos\u00ec via). Il contenuto era stilizzato come librerie HTTP funzionanti o copiava il codice di librerie esistenti, e nelle descrizioni erano incluse affermazioni sui vantaggi e confronti con librerie HTTP legittime. L'attivit\u00e0 malevola mirava a caricare software dannoso nel sistema o a raccogliere e inviare dati confidenziali.\n
In NPM sono stati identificati 16 pacchetti JavaScript (speedte*, trova*, lagra), che oltre alla funzionalit\u00e0 dichiarata (test delle capacit\u00e0 di larghezza di banda) contenevano anche codice per il mining di criptovalute senza la conoscenza dell'utente.\n
![\"In](\"\/wp-content\/uploads\/2023\/02\/434214f596ba6d4174a3f0a8eae982e4.jpg\")
<\/center> <\/p>\n