NPM-მა გამოავლინა 15 ათასი ფიშინგისა და სპამის პაკეტი

NPM დირექტორიის მომხმარებლებზე თავდასხმა დაფიქსირდა, რის შედეგადაც 20 თებერვალს NPM საცავში 15 ათასზე მეტი პაკეტი განთავსდა, რომელთა README ფაილები შეიცავდა ფიშინგ საიტების ბმულებს ან რეფერალურ ბმულებს იმ დაწკაპუნებებისთვის, რომლებზეც ჰონორარები იხდიან. ანალიზის დროს პაკეტებში 190 უნიკალური ფიშინგური ან სარეკლამო ბმული იქნა ნაპოვნი, რომლებიც 31 დომენს მოიცავდა.

პაკეტების სახელწოდებები შეირჩა ჩვეულებრივი ადამიანების ინტერესის მოსაზიდად, მაგალითად, „free-tiktok-followers“, „free-xbox-codes“, „instagram-followers-free“ და ა.შ. გაანგარიშება განხორციელდა NPM-ის მთავარ გვერდზე ბოლო განახლებების სიის სპამ პაკეტებით შესავსებად. პაკეტების აღწერილობაში მოცემული იყო ბმულები, რომლებიც გვპირდებოდა უფასო საჩუქრებს, სათამაშო ჩეთებს, ასევე უფასო სერვისებს გამომწერებისა და მოწონებების გასაზრდელად სოციალურ ქსელებში, როგორიცაა TikTok და Instagram. ეს არ არის პირველი ასეთი შეტევა; დეკემბერში NuGet, NPM და PyPi დირექტორიებში გამოქვეყნდა 144 ათასი სპამ პაკეტი.

პაკეტების შინაარსი ავტომატურად გენერირდებოდა Python სკრიპტის გამოყენებით, რომელიც, როგორც ჩანს, შემთხვევით იყო დატოვებული პაკეტებში და მოიცავდა შეტევისას გამოყენებულ სამუშაო ავტორიზაციის მონაცემებს. პაკეტები გამოქვეყნდა მრავალი სხვადასხვა ანგარიშის ქვეშ ისეთი ტექნიკის გამოყენებით, რომელიც ართულებდა კვალის ამოხსნას და პრობლემური პაკეტების სწრაფ იდენტიფიცირებას.

თაღლითური საქმიანობის გარდა, NPM-ისა და PyPi-ის საცავებში ასევე გამოვლინდა მავნე პაკეტების გამოქვეყნების რამდენიმე მცდელობა:

• PyPI საცავში 451 მავნე პაკეტი აღმოაჩინეს, რომლებიც typosquatting-ის გამოყენებით შენიღბულნი იყვნენ ზოგიერთი პოპულარული ბიბლიოთეკის სახით (მაგალითად, vyper-ის ნაცვლად vper, bitcoinnlib bitcoinlib-ის ნაცვლად, ccryptofeed cryptofeed-ის ნაცვლად, ccxtt ccxt-ის ნაცვლად, cryptocommpare-ის ნაცვლად cryptocompare, seleium selenium-ის ნაცვლად, pinstaller pyinstaller-ის ნაცვლად და ა.შ.). პაკეტები შეიცავდა კრიპტოვალუტის მოპარვის დაბინდულ კოდს, რომელიც აფიქსირებდა კრიპტო საფულის იდენტიფიკატორების არსებობას ბუფერში და ცვლიდა მათ თავდამსხმელის საფულით (ვარაუდობენ, რომ გადახდის განხორციელებისას მსხვერპლი ვერ შეამჩნევს, რომ ბუფერში გადატანილი საფულის ნომერი განსხვავებულია). ჩანაცვლება განხორციელდა ჩაშენებული ბრაუზერის დანამატით, რომელიც შესრულდა თითოეული ნანახი ვებგვერდის კონტექსტში.
• PyPI საცავში აღმოჩენილია მავნე HTTP ბიბლიოთეკების სერია. მავნე აქტივობა 41 პაკეტში აღმოჩნდა, რომელთა სახელწოდებებიც შეირჩა typosquatting მეთოდების გამოყენებით და ჰგავდა პოპულარულ ბიბლიოთეკებს (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 და ა.შ.). დატვირთვა სტილიზებული იყო, როგორც მოქმედი HTTP ბიბლიოთეკები ან კოპირებული იყო არსებული ბიბლიოთეკების კოდი, ხოლო აღწერილობები მოიცავდა უპირატესობებსა და შედარებებს ლეგიტიმურ HTTP ბიბლიოთეკებთან. მავნე აქტივობა შემოიფარგლებოდა ან სისტემაში მავნე პროგრამის ჩამოტვირთვით, ან კონფიდენციალური მონაცემების შეგროვებით და გაგზავნით.
• NPM-მა გამოავლინა 16 JavaScript პაკეტი (speedte*, trova*, lagra), რომლებიც, მათი მითითებული ფუნქციონალურობის (გამტარუნარიანობის ტესტირება) გარდა, ასევე შეიცავდნენ კრიპტოვალუტის მაინინგის კოდს მომხმარებლის ცოდნის გარეშე.
• NPM-ში 691 მავნე პაკეტი იქნა აღმოჩენილი. პრობლემური პაკეტების უმეტესობა Yandex-ის პროექტებს (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms და ა.შ.) ამსგავსებდა და გარე სერვერებზე კონფიდენციალური ინფორმაციის გაგზავნის კოდს შეიცავდა. სერვერებიითვლება, რომ პაკეტების გამომქვეყნებლები ცდილობდნენ საკუთარი დამოკიდებულებების ჩანაცვლებას Yandex-ში პროექტების შექმნისას (შიდა დამოკიდებულებების ჩანაცვლების მეთოდი). PyPI საცავში იმავე მკვლევარებმა აღმოაჩინეს 49 პაკეტი (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp და ა.შ.), რომლებიც შეიცავდნენ დაბინდულ მავნე კოდს, რომელიც გარე სერვერიდან იტვირთება და ამუშავებს შესრულებად ფაილს. სერვერი.

წყარო: opennet.ru