{"id":106945,"date":"2023-02-26T12:49:02","date_gmt":"2023-02-26T10:49:03","guid":{"rendered":"https:\/\/prohoster.info\/?p=106945"},"modified":"2023-02-27T12:02:06","modified_gmt":"2023-02-27T10:02:06","slug":"v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","title":{"rendered":"In NPM sono stati identificati 15 mila pacchetti per phishing e spam","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata registrata un'attacco agli utenti del catalogo NPM, che il 20 febbraio ha visto l'inserimento di oltre 15.000 pacchetti nel repository NPM, i cui file README contenevano link a siti di phishing o link di affiliazione, che pagano commissioni per i clic. Durante l'analisi sono stati identificati 190 link unici di phishing o pubblicitari, che coprivano 31 domini. <\/p>\n
I nomi dei pacchetti sono stati scelti per attirare l'interesse delle persone, ad esempio, «free-tiktok-followers» «free-xbox-codes», «instagram-followers-free» e cos\u00ec via. Il calcolo era basato sul riempimento delle liste delle recenti aggiornamenti sulla pagina principale di NPM con pacchetti di spam. Nelle descrizioni dei pacchetti erano presenti link che promettevano distribuzioni gratuite, regali, cheat per giochi, cos\u00ec come servizi gratuiti per aumentare i follower e i like sui social media, come TikTok e Instagram. Non \u00e8 il primo attacco di questo tipo; a dicembre erano stati registrati 144.000 pacchetti di spam pubblicati nei cataloghi NuGet, NPM e PyPi.
<\/center> <\/p>\n
Il contenuto dei pacchetti \u00e8 stato generato automaticamente utilizzando uno script python, che evidentemente per disattenzione \u00e8 stato lasciato nei pacchetti e conteneva credenziali funzionanti utilizzate durante l'attacco. I pacchetti sono stati pubblicati sotto numerosi account diversi utilizzando metodi che complicano la ricostruzione delle tracce e l'identificazione rapida dei pacchetti problematici. <\/p>\n
Oltre alle attivit\u00e0 fraudolente nei repository NPM e PyPi, sono state anche riportate diverse tentativi di pubblicazione di pacchetti dannosi: <\/p>\n
\n
Nel repository PyPI sono stati trovati 451 pacchetti dannosi, che si mascheravano da alcune librerie popolari utilizzando il type-squatting (assegnazione di nomi simili, differenziati da singoli caratteri, ad esempio, vper invece di vyper, bitcoinnlib invece di bitcoinlib, ccryptofeed invece di cryptofeed, ccxtt invece di ccxt, cryptocommpare invece di cryptocompare, seleium invece di selenium, pinstaller invece di pyinstaller, ecc.). I pacchetti contenevano codice offuscato per rubare criptovalute, che identificava la presenza di identificatori di portafogli in memoria e li sostituiva con il portafoglio dell'aggressore (si presume che durante il pagamento la vittima non si accorga che il numero del portafoglio copiato sia diverso). La sostituzione veniva effettuata da un'estensione integrata nel browser, eseguita nel contesto di ogni pagina web visitata.\n
Nel repository PyPI \u00e8 stata rilevata una serie di librerie HTTP dannose. L'attivit\u00e0 dannosa \u00e8 stata trovata in 41 pacchetti, i cui nomi erano scelti utilizzando metodi di type-squatting e somigliavano a librerie popolari (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, ecc.). Il contenuto era stilizzato come quello di librerie HTTP funzionanti o copiava il codice di librerie esistenti, e nella descrizione erano presentate affermazioni sui vantaggi e confronti con librerie HTTP legittime. L'attivit\u00e0 dannosa consisteva sia nel caricare malware nel sistema, sia nel raccogliere e inviare dati riservati.\n
Nel NPM sono stati identificati 16 pacchetti JavaScript (speedte*, trova*, lagra), che oltre alla funzionalit\u00e0 dichiarata (test di capacit\u00e0) contenevano anche codice per il mining di criptovalute senza il consenso dell'utente.\n
![\"In](\"\/wp-content\/uploads\/2023\/02\/434214f596ba6d4174a3f0a8eae982e4.jpg\")
<\/center> <\/p>\n