攻撃者は coa NPM パッケージの制御を取得し、悪意のある変更を含むアップデート 2.0.3、2.0.4、2.1.1、2.1.3、および 3.1.3 をリリースしました。 コマンド ライン引数を解析する機能を提供する coa パッケージは、週に約 9 万ダウンロードされ、react-scripts や vue/cli-service を含む 159 の他の NPM パッケージへの依存関係として使用されています。 NPM 管理者はすでに悪意のある変更を含むリリースを削除し、メイン開発者のリポジトリへのアクセスが回復するまで新しいバージョンの公開をブロックしました。
この攻撃は、プロジェクトの開発者アカウントをハッキングすることによって実行されました。追加された悪意のある変更は、2週間前にUAParser.js NPMパッケージのユーザーに対して行われた攻撃で使用されたものと似ていますが、Windowsプラットフォームに限定されていました（ダウンロードブロック内）。 Linux и macOS （空のプレースホルダーが残されました。）モネロ暗号通貨をマイニングするための実行ファイル（XMRigマイナーが使用されました）が外部ホストからユーザーのシステムにダウンロードされ、起動されました。また、パスワードを傍受するためのライブラリがインストールされました。
悪意のあるコードを含むパッケージの作成時にエラーが発生し、パッケージのインストールが失敗したため、問題はすぐに特定され、悪意のある更新プログラムの配布が早い段階でブロックされました。 ユーザーはバージョン coa 2.0.2 がインストールされていることを確認する必要があり、再侵害に備えてプロジェクトの package.json に動作バージョンへのリンクを追加することをお勧めします。 npm とyarn: "resolutions": { "coa": "2.0.2" }、pnpm: "pnpm": { "overrides": { "coa": "2.0.2" } }、
出所： オープンネット.ru
