NPM 저장소에서 악성 패키지 17개 식별

NPM 저장소는 타입 스쿼팅을 사용하여 배포된 17개의 악성 패키지를 식별했습니다. 사용자가 이름을 입력할 때 오타를 일으키거나 목록에서 모듈을 선택할 때 차이점을 알아차리지 못할 것이라는 기대와 함께 인기 있는 라이브러리의 이름과 유사한 이름을 할당합니다.

discord-selfbot-v14, discord-lofy, discordsystem 및 discord-vilao 패키지는 Discord API와 상호 작용하기 위한 기능을 제공하는 합법적인 discord.js 라이브러리의 수정된 버전을 사용했습니다. 악성 구성 요소는 패키지 파일 중 하나에 통합되었으며 약 4000줄의 코드가 포함되어 있었고 변수 이름 맹글링, 문자열 암호화 및 코드 형식 위반을 사용하여 난독화되었습니다. 이 코드는 로컬 FS에서 Discord 토큰을 스캔하고, 감지되면 공격자의 서버로 보냈습니다.

수정 오류 패키지는 Discord 셀프봇의 버그를 수정한다고 주장했지만 Discord와 관련된 신용 카드 번호와 계정을 훔치는 PirateStealer라는 트로이 목마 앱이 포함되어 있었습니다. Discord 클라이언트에 JavaScript 코드를 삽입하여 악성 구성 요소가 활성화되었습니다.

prerequests-xcode 패키지에는 DiscordRAT Python 애플리케이션을 기반으로 사용자 시스템에 대한 원격 액세스를 구성하기 위한 트로이 목마가 포함되어 있습니다.

공격자는 손상된 시스템에서 정보를 다운로드하고, 공격을 은폐하고, Discord 사용자에게 맬웨어를 배포하거나, 프리미엄 계정을 재판매하기 위한 프록시로 봇넷 제어 지점을 배포하기 위해 Discord 서버에 액세스해야 할 수 있습니다.

Wafer-bind, Wafer-autocomplete, Wafer-Beacon, Wafer-CAAS, Wafer-Toggle, Wafer-Geolocation, Wafer-Image, Wafer-form, Wafer-Lightbox, octavius-public 및 mrg-message-broker 패키지에는 코드가 포함되어 있습니다. 예를 들어 AWS와 같은 클라우드 환경이나 지속적인 통합 시스템에 액세스 키, 토큰 또는 비밀번호를 포함할 수 있는 환경 변수의 내용을 전송합니다.

출처 : opennet.ru