러시아와 벨로루시의 시스템에서 파일을 삭제하는 node-ipc NPM 패키지가 악의적으로 변경되었습니다.

node-ipc NPM 패키지(CVE-2022-23812)에서 쓰기 권한이 있는 모든 파일의 내용이 "❤️" 문자로 대체될 확률이 25%인 악의적인 변경 사항이 감지되었습니다. 악성 코드는 러시아나 벨로루시의 IP 주소를 사용하는 시스템에서 실행될 때만 활성화됩니다. node-ipc 패키지는 주당 약 백만 건의 다운로드를 가지며 vue-cli를 포함한 354개 패키지에 대한 종속성으로 사용됩니다. node-ipc가 종속성인 모든 프로젝트도 이 문제의 영향을 받습니다.

악성 코드는 node-ipc 10.1.1 및 10.1.2 릴리스의 일부로 NPM 저장소에 게시되었습니다. 11일 전에 프로젝트 작성자를 대신하여 프로젝트의 Git 저장소에 악의적인 변경 사항이 게시되었습니다. 국가는 api.ipgeolocation.io 서비스를 호출하여 코드에서 결정됩니다. 악성 삽입에서 ipgeolocation.io API에 액세스한 키가 이제 취소되었습니다.

의심스러운 코드의 출현에 대한 경고에 대한 설명에서 프로젝트 작성자는 변경 사항이 평화를 요구하는 메시지를 표시하는 파일을 데스크탑에 추가하는 것과 같다고 밝혔습니다. 실제로 이 코드는 발견된 모든 파일을 덮어쓰려고 디렉터리를 재귀적으로 검색했습니다.

node-ipc 11.0.0 및 11.1.0의 릴리스는 나중에 NPM 저장소에 게시되었습니다. 이 저장소는 내장된 악성 코드를 외부 종속성인 "peacenotwar"로 대체했습니다. 이 코드는 동일한 작성자가 제어하고 원하는 패키지 관리자가 포함하도록 제안했습니다. 시위에 동참하기 위해. Peacenotwar 패키지는 평화에 대한 메시지만 표시한다고 명시되어 있지만 작성자가 이미 취한 조치를 고려하면 패키지의 추가 내용을 예측할 수 없으며 파괴적인 변경이 없음을 보장할 수 없습니다.

동시에 Vue.js 프로젝트에서 사용되는 stable node-ipc 9.2.2 브랜치에 대한 업데이트도 출시되었습니다. 새 릴리스에서는 Peacenotwar 외에도 색상 패키지도 종속성 목록에 추가되었으며, 작성자는 XNUMX월에 코드에 파괴적인 변경 사항을 통합했습니다. 새 릴리스의 소스 라이센스가 MIT에서 DBAD로 변경되었습니다.

작성자의 추가 조치는 예측할 수 없으므로 node-ipc 사용자는 버전 9.2.1의 종속성을 수정하는 것이 좋습니다. 또한 41개의 패키지를 유지 관리한 동일한 작성자가 다른 개발 버전을 수정하는 것이 좋습니다. 동일한 작성자가 관리하는 일부 패키지(js-queue, easy-stack, js-message, event-pubsub)는 주당 약 백만 건의 다운로드를 기록합니다.

추가: 애플리케이션의 직접적인 기능과 관련이 없고 IP 주소 또는 시스템 로케일에 연결된 다양한 공개 패키지에 작업을 추가하려는 다른 시도가 기록되었습니다. 이러한 변경 사항(es5-ext, rete, PHP Composer, PHPUnit, Redis Desktop Manager, Awesome Prometheus Alerts, verdaccio, filestash) 중 가장 무해한 변경 사항은 결국 러시아와 벨로루시 사용자에게 전쟁을 종료하라는 요청을 표시하는 것입니다. 동시에 AWS Terraform 모듈 패키지에 암호화 도구가 추가되고 라이선스에 정치적 제한이 도입되는 등 더 위험한 징후도 식별되었습니다. ESP8266 및 ESP32 장치용 Tasmota 펌웨어에는 장치 작동을 차단할 수 있는 북마크가 내장되어 있습니다. 그러한 활동은 오픈 소스 소프트웨어에 대한 신뢰를 심각하게 훼손할 수 있다고 믿어집니다.

출처 : opennet.ru