NPM-მა გამოავლინა 15 ათასი ფიშინგისა და სპამის პაკეტი

დაფიქსირდა თავდასხმა NPM დირექტორიას მომხმარებლებზე, რის შედეგადაც 20 თებერვალს NPM საცავში განთავსდა 15 ათასზე მეტი პაკეტი, რომელთა README ფაილები შეიცავდა ბმულებს ფიშინგ საიტებზე ან რეფერალურ ბმულებს დაწკაპუნებებისთვის, რომელ ჰონორარებზე. გადახდილია. ანალიზის დროს პაკეტებში გამოვლინდა 190 უნიკალური ფიშინგის ან სარეკლამო ბმული, რომელიც მოიცავს 31 დომენს.

პაკეტების სახელები შეირჩა უბრალო ხალხის ინტერესის მოსაზიდად, მაგალითად, „free-tiktok-followers“, „free-xbox-codes“, „instagram-followers-free“ და ა.შ. გაანგარიშება გაკეთდა NPM-ის მთავარ გვერდზე ბოლო განახლებების სიის შესავსებად სპამის პაკეტებით. პაკეტების აღწერილობაში მოიცავდა ბმულებს, რომლებიც გვპირდებოდა უფასო საჩუქრებს, საჩუქრებს, თამაშის მოტყუებებს, ასევე უფასო სერვისებს მიმდევრებისა და მოწონებების გაზრდისთვის სოციალურ ქსელებში, როგორიცაა TikTok და Instagram. ეს არ არის პირველი ასეთი შეტევა; დეკემბერში 144 ათასი სპამის პაკეტის გამოქვეყნება დაფიქსირდა NuGet, NPM და PyPi დირექტორიაში.

პაკეტების შიგთავსი ავტომატურად იქმნებოდა პითონის სკრიპტის გამოყენებით, რომელიც აშკარად შეუმჩნევლად დარჩა პაკეტებში და მოიცავდა თავდასხმაში გამოყენებულ სამუშაო სერთიფიკატებს. პაკეტები გამოქვეყნდა მრავალი განსხვავებული ანგარიშის ქვეშ, მეთოდების გამოყენებით, რაც ართულებდა ბილიკის ამოხსნას და პრობლემური პაკეტების სწრაფად იდენტიფიცირებას.

თაღლითური ქმედებების გარდა, მავნე პაკეტების გამოქვეყნების რამდენიმე მცდელობა ასევე გამოვლინდა NPM და PyPi საცავებში:

• PyPI საცავში ნაპოვნი იქნა 451 მავნე პაკეტები, რომლებიც შენიღბული იყო რამდენიმე პოპულარულ ბიბლიოთეკაში typequatting-ის გამოყენებით (მსგავსი სახელების მინიჭება, რომლებიც განსხვავდება ცალკეული სიმბოლოებით, მაგალითად, vper ნაცვლად vyper, bitcoinnlib ნაცვლად bitcoinlib, ccryptofeed ნაცვლად cryptofeed, ccxtt ნაცვლად. ccxt, cryptocommpare ნაცვლად cryptocompare, seleium ნაცვლად selenium, pinstaller ნაცვლად pyinstaller და ა.შ.). პაკეტები მოიცავდა კრიპტოვალუტის მოპარვის ბუნდოვან კოდს, რომელმაც აღმოაჩინა კრიპტო საფულის იდენტიფიკატორების არსებობა ბუფერში და შეცვალა ისინი თავდამსხმელის საფულეში (ვარაუდობენ, რომ გადახდისას მსხვერპლი ვერ შეამჩნევს, რომ საფულის ნომერი გადაცემულია ბუფერში. განსხვავებულია). ჩანაცვლება განხორციელდა ბრაუზერის დანამატით, რომელიც შესრულდა თითოეული ნანახი ვებგვერდის კონტექსტში.
• PyPI საცავში იდენტიფიცირებულია მავნე HTTP ბიბლიოთეკების სერია. მავნე აქტივობა აღმოჩნდა 41 პაკეტში, რომელთა სახელები შეირჩა typequatting მეთოდების გამოყენებით და წააგავდა პოპულარულ ბიბლიოთეკებს (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 და ა.შ.). შიგთავსის სტილი იყო მომუშავე HTTP ბიბლიოთეკების მსგავსი ან არსებული ბიბლიოთეკების კოდის კოპირება, ხოლო აღწერა მოიცავდა პრეტენზიებს უპირატესობებისა და ლეგიტიმური HTTP ბიბლიოთეკების შედარებასთან დაკავშირებით. მავნე აქტივობა შედგებოდა ან სისტემაში მავნე პროგრამის ჩამოტვირთვისგან ან სენსიტიური მონაცემების შეგროვებისა და გაგზავნისგან.
• NPM-მა გამოავლინა JavaScript-ის 16 პაკეტი (speedte*, trova*, lagra), რომელიც, გარდა მითითებული ფუნქციონირებისა (გამტარუნარიანობის ტესტირება), ასევე შეიცავდა კოდს მომხმარებლის ცოდნის გარეშე კრიპტოვალუტის მაინინგისთვის.
• NPM-მა გამოავლინა 691 მავნე პაკეტი. პრობლემური პაკეტების უმეტესობა წარმოადგენდა Yandex-ის პროექტებს (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms და ა.შ.) და მოიცავდა კოდს გარე სერვერებზე კონფიდენციალური ინფორმაციის გასაგზავნად. ვარაუდობენ, რომ ისინი, ვინც განათავსეს პაკეტები, ცდილობდნენ მიაღწიონ თავიანთი დამოკიდებულების შეცვლას Yandex-ში პროექტების აწყობისას (შიდა დამოკიდებულებების ჩანაცვლების მეთოდი). PyPI საცავში, იგივე მკვლევარებმა აღმოაჩინეს 49 პაკეტი (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp და ა.შ.) ბუნდოვანი მავნე კოდით, რომელიც ჩამოტვირთავს და აწარმოებს შესრულებად ფაილს გარე სერვერიდან.

წყარო: opennet.ru