תוכנה זדונית הוזרקה לחבילת UAParser.js NPM עם 8 מיליון הורדות בשבוע

סיפור ההסרה של שלוש חבילות זדוניות שהעתיקו את הקוד של ספריית UAParser.js ממאגר NPM קיבל המשך בלתי צפוי - תוקפים לא ידועים השתלטו על חשבונו של מחבר פרויקט UAParser.js ושחררו עדכונים המכילים קוד עבור גניבת סיסמאות וכריית מטבעות קריפטוגרפיים.

הבעיה היא שלספריית UAParser.js, המציעה פונקציות לניתוח הכותרת של HTTP User-Agent, יש כ-8 מיליון הורדות בשבוע והיא משמשת כתלות בלמעלה מ-1200 פרויקטים. נטען כי UAParser.js נמצא בשימוש על ידי חברות כגון Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP ו-Verison.

המתקפה בוצעה על ידי פריצה לחשבון של מפתח הפרויקט, שהבין שמשהו לא בסדר לאחר שגל חריג של דואר זבל נפל לתיבת הדואר שלו. לא מדווח איך בדיוק נפרץ חשבון המפתח. התוקפים יצרו מהדורות 0.7.29, 0.8.0 ו-1.0.0 על ידי הזרקת קוד זדוני לתוכם. תוך מספר שעות, המפתחים השיבו לעצמם את השליטה בפרויקט ויצרו עדכונים 0.7.30, 0.8.1 ו-1.0.1 לתיקון הבעיה. גרסאות זדוניות פורסמו רק כחבילות במאגר NPM. מאגר Git של הפרויקט ב-GitHub לא הושפע. כל המשתמשים שהתקינו גרסאות בעייתיות, אם הם מוצאים את קובץ ה-jsextension ב-Linux/macOS, ואת הקבצים jsextension.exe ו-create.dll ב-Windows, מומלץ לשקול את המערכת כפגיעה.

השינויים הזדוניים שנוספו היו דומים לאלה שהוצעו בעבר בשיבוטי UAParser.js, שנראה כאילו שוחררו כדי לבדוק פונקציונליות לפני השקת מתקפה בקנה מידה גדול על הפרויקט הראשי. קובץ ההפעלה jsextension נטען והושק במערכת של המשתמש מארח חיצוני, שנבחר בהתאם לפלטפורמת המשתמש ותמכו בעבודה על לינוקס, macOS ו-Windows. עבור פלטפורמת Windows, בנוסף לתוכנית כריית המטבעות הקריפטוגרפיים Monero (השתמש בכורה XMRig), התוקפים גם ארגנו את הכנסת ספריית create.dll ליירט סיסמאות ולשלוח אותן למארח חיצוני.

קוד ההורדה נוסף לקובץ preinstall.sh, שכלל את ה-Insert IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') אם [ -z " $ IP" ] ... הורד והפעל את קובץ ההפעלה fi

כפי שניתן לראות מהקוד, הסקריפט בדק לראשונה את כתובת ה-IP בשירות freegeoip.app ולא השיק אפליקציה זדונית עבור משתמשים מרוסיה, אוקראינה, בלארוס וקזחסטן.

מקור: OpenNet.ru