ແພັກເກດ UAParser.js NPM, ເຊິ່ງມີການດາວໂຫຼດ 8 ລ້ານເທື່ອຕໍ່ອາທິດ, ຖືກໃສ່ກັບມັນແວ.

ເລື່ອງການໂຍກຍ້າຍອອກຈາກບ່ອນເກັບຂໍ້ມູນ NPM ຂອງສາມແພັກເກັດທີ່ເປັນອັນຕະລາຍທີ່ຄັດລອກລະຫັດຂອງຫ້ອງສະຫມຸດ UAParser.js ໄດ້ຮັບການສືບຕໍ່ທີ່ບໍ່ຄາດຄິດ - ຜູ້ໂຈມຕີທີ່ບໍ່ຮູ້ຈັກໄດ້ຍຶດເອົາການຄວບຄຸມບັນຊີຂອງຜູ້ຂຽນໂຄງການ UAParser.js ແລະປ່ອຍການປັບປຸງທີ່ມີລະຫັດສໍາລັບ ການລັກລະຫັດຜ່ານແລະການຂຸດຄົ້ນ cryptocurrencies.

ບັນຫາແມ່ນວ່າຫ້ອງສະຫມຸດ UAParser.js, ເຊິ່ງສະຫນອງຫນ້າທີ່ສໍາລັບການວິເຄາະສ່ວນຫົວ HTTP User-Agent, ມີປະມານ 8 ລ້ານດາວໂຫລດຕໍ່ອາທິດແລະຖືກນໍາໃຊ້ເປັນການເພິ່ງພາອາໄສໃນຫຼາຍກວ່າ 1200 ໂຄງການ. ມັນໄດ້ຖືກລະບຸໄວ້ວ່າ UAParser.js ຖືກນໍາໃຊ້ໃນໂຄງການຂອງບໍລິສັດເຊັ່ນ Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP ແລະ Verison .

ການໂຈມຕີໄດ້ຖືກປະຕິບັດໂດຍຜ່ານການ hack ບັນຊີຂອງຜູ້ພັດທະນາໂຄງການ, ຜູ້ທີ່ຮັບຮູ້ບາງສິ່ງບາງຢ່າງຜິດພາດຫຼັງຈາກຄື້ນຟອງຜິດປົກກະຕິຂອງ spam ໄດ້ຕົກລົງເຂົ້າໄປໃນກ່ອງຈົດຫມາຍຂອງລາວ. ບັນຊີຂອງຜູ້ພັດທະນາຖືກແຮັກແທ້ແມ່ນບໍ່ໄດ້ລາຍງານແນວໃດ. ຜູ້ໂຈມຕີໄດ້ສ້າງການປ່ອຍ 0.7.29, 0.8.0 ແລະ 1.0.0, ແນະນໍາລະຫັດອັນຕະລາຍເຂົ້າໄປໃນພວກມັນ. ພາຍໃນສອງສາມຊົ່ວໂມງ, ນັກພັດທະນາໄດ້ຟື້ນຟູການຄວບຄຸມຂອງໂຄງການແລະສ້າງການປັບປຸງ 0.7.30, 0.8.1 ແລະ 1.0.1 ເພື່ອແກ້ໄຂບັນຫາ. ສະບັບທີ່ເປັນອັນຕະລາຍໄດ້ຖືກເຜີຍແຜ່ເປັນແພັກເກັດຢູ່ໃນບ່ອນເກັບຂໍ້ມູນ NPM ເທົ່ານັ້ນ. ພື້ນທີ່ເກັບ Git ຂອງໂຄງການໃນ GitHub ບໍ່ໄດ້ຮັບຜົນກະທົບ. ຜູ້ໃຊ້ທຸກຄົນທີ່ໄດ້ຕິດຕັ້ງເວີຊັນທີ່ມີບັນຫາ, ຖ້າພວກເຂົາພົບໄຟລ໌ jsextension ໃນ Linux / macOS, ແລະໄຟລ໌ jsextension.exe ແລະ create.dll ໃນ Windows, ແນະນໍາໃຫ້ພິຈາລະນາລະບົບຖືກທໍາລາຍ.

ການປ່ຽນແປງທີ່ເປັນອັນຕະລາຍທີ່ເພີ່ມເຂົ້າມາແມ່ນ reminiscent ຂອງການປ່ຽນແປງທີ່ສະເຫນີກ່ອນຫນ້ານີ້ໃນ clones ຂອງ UAParser.js, ເຊິ່ງເບິ່ງຄືວ່າໄດ້ຖືກປ່ອຍອອກມາເພື່ອທົດສອບການເຮັດວຽກກ່ອນທີ່ຈະເປີດຕົວການໂຈມຕີຂະຫນາດໃຫຍ່ໃນໂຄງການຕົ້ນຕໍ. ໄຟລ໌ jsextension ທີ່ສາມາດປະຕິບັດໄດ້ໄດ້ຖືກດາວໂຫຼດແລະເປີດຕົວໃນລະບົບຂອງຜູ້ໃຊ້ຈາກເຈົ້າພາບພາຍນອກ, ເຊິ່ງຖືກເລືອກໂດຍອີງຕາມເວທີຂອງຜູ້ໃຊ້ແລະການເຮັດວຽກທີ່ສະຫນັບສະຫນູນໃນ Linux, macOS ແລະ Windows. ສໍາລັບແພລະຕະຟອມ Windows, ນອກເຫນືອຈາກໂຄງການສໍາລັບການຂຸດຄົ້ນເງິນສະກຸນເງິນ Monero (ການຂຸດຄົ້ນ XMRig ຖືກນໍາໃຊ້), ຜູ້ໂຈມຕີຍັງໄດ້ຈັດຕັ້ງການແນະນໍາຫ້ອງສະຫມຸດ create.dll ເພື່ອສະກັດລະຫັດຜ່ານແລະສົ່ງພວກມັນໄປຫາເຈົ້າພາບພາຍນອກ.

ລະຫັດການດາວໂຫຼດຖືກເພີ່ມໃສ່ໄຟລ໌ preinstall.sh, ເຊິ່ງໃສ່ IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') ຖ້າ [ -z " $ IP" ] ... ດາວໂຫຼດ ແລະແລ່ນໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້

ດັ່ງທີ່ເຫັນໄດ້ຈາກລະຫັດ, ສະຄິບທໍາອິດໄດ້ກວດເບິ່ງທີ່ຢູ່ IP ໃນການບໍລິການ freegeoip.app ແລະບໍ່ໄດ້ເປີດຕົວແອັບພລິເຄຊັນທີ່ເປັນອັນຕະລາຍສໍາລັບຜູ້ໃຊ້ຈາກລັດເຊຍ, ອູແກຣນ, ເບລາຣູດແລະຄາຊັກສະຖານ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru