axios NPM პაკეტი, რომელიც კვირაში 100 მილიონ ჩამოტვირთვას ითვლის, კომპრომეტირებულია.

თავდამსხმელებმა შეძლეს შემნახველის ანგარიშის გატეხვა და axios NPM პაკეტის ორი მავნე ვერსიის გამოშვება, რომელიც ბრაუზერებისა და Node.js-ისთვის HTTP კლიენტის იმპლემენტაციას უზრუნველყოფს. axios პაკეტი კვირაში 100 მილიონჯერ იტვირთება და მას დამოკიდებულებად 174,000 სხვა პაკეტი იყენებს. მავნე ცვლილებები Axios 1.14.1-სა და 0.30.4-ში ინტეგრირებული იქნა plain-crypto-js 4.2.1 დამოკიდებულების ფიქტიური ვერსიის ჩასმით, რომელიც შეიცავდა კოდს კომპონენტების ჩატვირთვისთვის, რომლებიც იღებენ ბრძანებებს თავდამსხმელების ბრძანებისა და კონტროლის სერვერიდან. მავნე ვერსიები ჩამოსატვირთად 31 მარტს თითქმის სამი საათის განმავლობაში იყო ხელმისაწვდომი - დილის 3:21 საათიდან დილის 6:15 საათამდე (მოსკოვის დროით).

მავნე ვერსიები პირდაპირ NPM-ში განთავსდა axios პროექტის მთავარი შემნახველის („jasonsaayman“) ავტორიზაციის გამოყენებით, GitHub Actions-ზე დაფუძნებული გამოშვების გამოქვეყნების სტანდარტული მექანიზმის გვერდის ავლით. ითვლება, რომ თავდამსხმელებმა შემნახველის NPM წვდომის ტოკენი ჩაჭრეს, შემდეგ შევიდნენ ანგარიშში და შეცვალეს მასთან დაკავშირებული ელექტრონული ფოსტის მისამართი. წვდომის ტოკენის ჩაჭრის ზუსტი მეთოდი გაურკვეველია.

გაშვებული მავნე კოდი განთავსებული იყო setup.js ფაილში plain-crypto-js პაკეტში, გააქტიურდა NPM პაკეტის ინსტალაციის დასრულების შემდეგ პოსტინსტალაციის დამმუშავებლის ('postinstall: "node setup.js"') მეშვეობით და გამოყენებული იყო ტროას ჩამოსატვირთად და ინსტალაციისთვის, რომელიც სისტემებს აინფიცირებს. Windows, macOS и Linuxგაშვების შემდეგ მისი არსებობის დასაფარად, მავნე კომპონენტმა წაშალა setup.js ფაილი და package.json ჩაანაცვლა ვერსიით, რომელიც არ იყენებდა ინსტალაციის შემდგომ კაუჭს.

В macOS მავნე შესრულებადი ფაილი გადმოწერილი იქნა როგორც „/Library/Caches/com.apple.act.mond“, Windows — „%PROGRAMDATA%\wt.exe“, Linux — "/tmp/ld.py," გააქტიურების შემდეგ Linux и macOS ყოველ 60 წამში გარეთ სერვერზე თავდამსხმელებს გაეგზავნა მოთხოვნა დაზარალებულ სისტემაზე შესასრულებელი ბრძანებების შესახებ, რომელთა გამოყენებაც შესაძლებელი იქნებოდა დამატებითი მავნე კომპონენტების ჩამოსატვირთად, თვითნებური shell ბრძანებების შესასრულებლად და კონკრეტული ფაილების მოსაძებნად/გასაგზავნად.

მავნე აქტივობა Linux и macOS არ ითვალისწინებდა გადატვირთვის შემდეგ ყოფნის შენარჩუნებას და შექმნილი იყო კონფიდენციალური მონაცემების, პაროლების, ტოკენებისა და წვდომის გასაღებების სწრაფი შეგროვებისთვის. Windows შეიქმნა ფაილი „%PROGRAMDATA%\system.bat“, რომელმაც ამოიღო მავნე კომპონენტი სერვერი თავდამსხმელები ყოველი შესვლისას.

წყარო: opennet.ru