NPM זיהתה 15 אלף חבילות דיוג וספאם

נרשמה תקיפה על משתמשי ספריית NPM, שבעקבותיה ב-20 בפברואר פורסמו במאגר NPM יותר מ-15 אלף חבילות, שקובצי ה-README שלהן הכילו קישורים לאתרי פישינג או קישורי הפניה לקליקים עליהם תמלוגים משולמים. במהלך הניתוח זוהו בחבילות 190 קישורי פישינג או פרסום ייחודיים, המכסים 31 דומיינים.

שמות החבילות נבחרו כדי למשוך עניין של אנשים רגילים, למשל "עוקבים-חינם-טיקטוק", "קודי-אקסבוקס חינם", "ללא עוקבים באינסטגרם" וכו'. החישוב נעשה כדי למלא את רשימת העדכונים האחרונים בעמוד הראשי של NPM בחבילות ספאם. תיאורי החבילות כללו קישורים שהבטיחו מתנות חינם, מתנות, צ'יטים במשחק, כמו גם שירותים חינמיים להגדלת העוקבים והלייקים ברשתות חברתיות כמו TikTok ואינסטגרם. זו אינה המתקפה הראשונה מסוג זה; בדצמבר נרשמה פרסום של 144 אלף חבילות דואר זבל בספריות NuGet, NPM ו-PyPi.

תכולת החבילות נוצרה אוטומטית באמצעות סקריפט python שככל הנראה נותר בחבילות בטעות וכלל את אישורי העבודה ששימשו בהתקפה. החבילות פורסמו בחשבונות רבים ושונים תוך שימוש בשיטות שהקשו על פירוק השביל וזיהוי מהיר של חבילות בעייתיות.

בנוסף לפעילויות הונאה, זוהו מספר ניסיונות לפרסם חבילות זדוניות גם במאגרי NPM ו-PyPi:

• 451 חבילות זדוניות נמצאו במאגר PyPI, שהתחפש לכמה ספריות פופולריות המשתמשות ב-typesquatting (הקצאת שמות דומים הנבדלים בתווים בודדים, למשל, vper במקום vyper, bitcoinnlib במקום bitcoinlib, ccryptofeed במקום cryptofeed, ccxtt במקום ccxt, cryptocommpare במקום cryptocompare, סליום במקום סלניום, pinstaller במקום pyinstaller וכו'). החבילות כללו קוד מעורפל לגניבת מטבע קריפטו, שזיהה נוכחות של מזהי ארנק קריפטו בלוח ושינה אותם לארנק של התוקף (ההנחה היא שבביצוע תשלום, הקורבן לא ישים לב שמספר הארנק הועבר דרך הלוח שונה). ההחלפה בוצעה על ידי תוסף דפדפן שהופעל בהקשר של כל דף אינטרנט שנצפה.
• סדרה של ספריות HTTP זדוניות זוהו במאגר PyPI. פעילות זדונית נמצאה ב-41 חבילות, ששמותיהן נבחרו בשיטות typequatting ודמו לספריות פופולריות (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 וכו'). המלית עוצבה כך שתדמה לספריות HTTP עובדות או העתיקה את הקוד של ספריות קיימות, והתיאור כלל טענות לגבי היתרונות וההשוואות לספריות HTTP לגיטימיות. פעילות זדונית כללה הורדת תוכנות זדוניות למערכת או איסוף ושליחה של נתונים רגישים.
• NPM זיהתה 16 חבילות JavaScript (speedte*, trova*, lagra), אשר בנוסף לפונקציונליות המוצהרת (בדיקת תפוקה), הכילו גם קוד לכריית מטבעות קריפטוגרפיים ללא ידיעת המשתמש.
• NPM זיהתה 691 חבילות זדוניות. רוב החבילות הבעייתיות התיימרו להיות פרויקטים של Yandex (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms וכו') וכללו קוד לשליחת מידע סודי לשרתים חיצוניים. ההנחה היא שאלו שפרסמו את החבילות ניסו להשיג החלפה של התלות שלהם בעת הרכבת פרויקטים ב- Yandex (שיטה להחלפת תלות פנימית). במאגר PyPI, אותם חוקרים מצאו 49 חבילות (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp וכו') עם קוד זדוני מעורפל שמוריד ומריץ קובץ הפעלה משרת חיצוני.

מקור: OpenNet.ru