ארבע חבילות זוהו במאגר NPM המעבירות נתוני משתמשים

במאגר NPM מזוהה פעילות זדונית בארבע חבילות, כולל סקריפט מראש להתקנה, אשר לפני התקנת החבילה, שלחה תגובה ל-GitHub עם מידע על כתובת ה-IP של המשתמש, מיקום, כניסה, דגם CPU וספריית הבית של המשתמש. קוד זדוני נמצא בחבילות אלקטורן (255 הורדות), לודאש (78 הורדות), loadyaml (48 הורדות) ו loadyml (37 הורדות).

חבילות בעיה פורסמו ל-NPM מ-17 באוגוסט עד 24 באוגוסט להפצה באמצעות טיפוסקווטינג, כלומר עם הקצאת שמות דומים לשמות של ספריות פופולריות אחרות מתוך ציפייה שהמשתמש יבצע שגיאת הקלדה בעת הקלדת השם או לא יבחין בהבדלים בעת בחירת מודול מהרשימה. אם לשפוט לפי מספר ההורדות, כ-400 משתמשים נפלו על הטריק הזה, רובם בלבלו בין אלקטורן לאלקטרון. כרגע חבילות האלקטורן ו-loadyaml כבר הוסר על ידי הנהלת NPM, וה- lodashs וחבילות loadyml הוסרו על ידי המחבר.

המניעים של התוקפים אינם ידועים, אך ההנחה היא שדליפת המידע דרך GitHub (התגובה נשלחה דרך Issue ונמחקה תוך XNUMX שעות) הייתה יכולה להתבצע במהלך ניסוי להערכת יעילות השיטה, או התקיפה תוכננה במספר שלבים, כאשר בראשון נאספו נתונים על הקורבנות, ובשני, שלא בוצע עקב חסימה, התכוונו התוקפים לשחרר עדכון שיכלול קוד זדוני מסוכן יותר או דלת אחורית ב- המהדורה החדשה.

מקור: OpenNet.ru