UAParser.js NPM 패키지에 주당 8만 다운로드의 맬웨어가 삽입되었습니다.

UAParser.js 라이브러리의 코드를 복사한 XNUMX개의 악성 패키지가 NPM 저장소에서 제거되었다는 이야기는 예상치 못한 연속이었습니다. 알려지지 않은 공격자가 UAParser.js 프로젝트 작성자의 계정에 대한 제어권을 탈취하고 다음 코드가 포함된 업데이트를 공개했습니다. 비밀번호를 훔치고 암호화폐를 채굴합니다.

문제는 User-Agent HTTP 헤더를 파싱하는 기능을 제공하는 UAParser.js 라이브러리가 주당 약 8만 건의 다운로드를 기록하고 1200개 이상의 프로젝트에서 종속성으로 사용되고 있다는 점입니다. UAParser.js는 Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP 및 Verison과 같은 회사의 프로젝트에 사용된다고 명시되어 있습니다. .

공격은 프로젝트 개발자의 계정 해킹을 통해 이루어졌는데, 개발자는 자신의 메일함에 특이한 스팸 물결이 들어온 후 뭔가 잘못되었음을 깨달았습니다. 개발자 계정이 정확히 어떻게 해킹되었는지는 보고되지 않습니다. 공격자는 릴리스 0.7.29, 0.8.0 및 1.0.0을 만들어 악성 코드를 도입했습니다. 몇 시간 내에 개발자는 프로젝트에 대한 제어권을 다시 얻었고 문제를 해결하기 위해 업데이트 0.7.30, 0.8.1 및 1.0.1을 만들었습니다. 악성 버전은 NPM 저장소에 패키지로만 게시되었습니다. GitHub에 있는 프로젝트의 Git 저장소는 영향을 받지 않았습니다. 문제가 있는 버전을 설치한 모든 사용자는 Linux/macOS에서 jsextension 파일을 발견하고 Windows에서 jsextension.exe 및 create.dll 파일을 발견한 경우 시스템이 손상된 것으로 간주하는 것이 좋습니다.

추가된 악의적인 변경 사항은 메인 프로젝트에 대한 대규모 공격을 시작하기 전에 기능을 테스트하기 위해 릴리스된 것으로 보이는 UAParser.js의 복제본에서 이전에 제안된 변경 사항을 연상시킵니다. jsextension 실행 파일은 사용자 플랫폼과 Linux, macOS 및 Windows에서 지원되는 작업에 따라 선택되는 외부 호스트에서 사용자 시스템으로 다운로드되어 실행되었습니다. Windows 플랫폼의 경우 공격자는 Monero 암호화폐 채굴 프로그램(XMRig 채굴기 사용) 외에도 비밀번호를 가로채서 외부 호스트로 보내기 위해 create.dll 라이브러리를 도입했습니다.

다운로드 코드가 preinstall.sh 파일에 추가되었습니다. 여기에 IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') if [ -z "를 삽입하세요. $ IP" ] ... 실행 파일 fi를 다운로드하고 실행합니다.

코드에서 볼 수 있듯이 스크립트는 먼저 freegeoip.app 서비스에서 IP 주소를 확인한 후 러시아, 우크라이나, 벨로루시, 카자흐스탄 사용자를 대상으로 악성 애플리케이션을 실행하지 않았습니다.

출처 : opennet.ru