NPM ໄດ້ລະບຸ 15 ພັນຊຸດ phishing ແລະ spam

ການໂຈມຕີໄດ້ຖືກບັນທຶກໄວ້ໃນຜູ້ໃຊ້ຂອງໄດເລກະທໍລີ NPM, ດັ່ງນັ້ນໃນວັນທີ 20 ເດືອນກຸມພາ, ຫຼາຍກວ່າ 15 ພັນຊຸດໄດ້ຖືກຈັດພີມມາຢູ່ໃນບ່ອນເກັບມ້ຽນ NPM, ໄຟລ໌ README ທີ່ມີການເຊື່ອມຕໍ່ໄປຫາເວັບໄຊທ໌ phishing ຫຼືການເຊື່ອມຕໍ່ອ້າງອີງສໍາລັບການຄລິກໃສ່ຄ່າພາກຫຼວງ. ແມ່ນຈ່າຍ. ໃນລະຫວ່າງການວິເຄາະ, 190 ການເຊື່ອມຕໍ່ phishing ຫຼືການໂຄສະນາທີ່ເປັນເອກະລັກໄດ້ຖືກລະບຸໄວ້ໃນຊຸດ, ກວມເອົາ 31 ໂດເມນ.

ຊື່ຂອງແພັກເກັດຖືກເລືອກເພື່ອດຶງດູດຄວາມສົນໃຈຂອງປະຊາຊົນທົ່ວໄປ, ຕົວຢ່າງ, "ຜູ້ຕິດຕາມຟຣີ tiktok", "ຟຣີ xbox-codes", "instagram-followers-free", ແລະອື່ນໆ. ການຄິດໄລ່ໄດ້ຖືກເຮັດເພື່ອຕື່ມຂໍ້ມູນໃສ່ບັນຊີລາຍຊື່ຂອງການປັບປຸງທີ່ຜ່ານມາໃນຫນ້າຫລັກ NPM ທີ່ມີຊຸດ spam. ລາຍ​ລະ​ອຽດ​ຂອງ​ຊຸດ​ລວມ​ທັງ​ການ​ເຊື່ອມ​ຕໍ່​ທີ່​ສັນ​ຍາ​ວ່າ​ການ​ໃຫ້​ຟຣີ​, ຂອງ​ຂວັນ​, cheats ເກມ​, ເຊັ່ນ​ດຽວ​ກັນ​ກັບ​ການ​ບໍ​ລິ​ການ​ຟຣີ​ສໍາ​ລັບ​ການ​ເພີ່ມ​ທະ​ວີ​ການ​ຕິດ​ຕາມ​ແລະ​ມັກ​ໃນ​ເຄືອ​ຂ່າຍ​ສັງ​ຄົມ​ເຊັ່ນ TikTok ແລະ Instagram​. ນີ້ບໍ່ແມ່ນການໂຈມຕີຄັ້ງທໍາອິດ; ໃນເດືອນທັນວາ, ການພິມເຜີຍແຜ່ 144 ພັນຊຸດ spam ໄດ້ຖືກບັນທຶກໄວ້ໃນບັນຊີ NuGet, NPM ແລະ PyPi.

ເນື້ອໃນຂອງແພັກເກັດຖືກສ້າງຂື້ນໂດຍອັດຕະໂນມັດໂດຍໃຊ້ສະຄຣິບ python ທີ່ປາກົດວ່າຖືກປະໄວ້ໂດຍບໍ່ໄດ້ຕັ້ງໃຈໃນແພັກເກັດ ແລະລວມເອົາຂໍ້ມູນປະຈຳຕົວການເຮັດວຽກທີ່ໃຊ້ໃນການໂຈມຕີ. ແພກເກດດັ່ງກ່າວໄດ້ຖືກເຜີຍແຜ່ພາຍໃຕ້ບັນຊີທີ່ແຕກຕ່າງກັນຫຼາຍໂດຍໃຊ້ວິທີການທີ່ເຮັດໃຫ້ມັນຍາກທີ່ຈະ untangle trail ແລະກໍານົດການຫຸ້ມຫໍ່ທີ່ມີບັນຫາຢ່າງໄວວາ.

ນອກເຫນືອຈາກກິດຈະກໍາການສໍ້ໂກງ, ຄວາມພະຍາຍາມທີ່ຈະເຜີຍແຜ່ແພັກເກັດທີ່ເປັນອັນຕະລາຍຫຼາຍຄັ້ງຍັງຖືກກວດພົບຢູ່ໃນບ່ອນເກັບຂໍ້ມູນ NPM ແລະ PyPi:

• 451 ຊຸດທີ່ເປັນອັນຕະລາຍໄດ້ຖືກພົບເຫັນຢູ່ໃນບ່ອນເກັບມ້ຽນ PyPI, ເຊິ່ງປອມຕົວເປັນບາງຫ້ອງສະຫມຸດທີ່ນິຍົມໃຊ້ typesquatting (ການມອບຫມາຍຊື່ທີ່ຄ້າຍຄືກັນທີ່ມີຄວາມແຕກຕ່າງກັນໃນລັກສະນະສ່ວນບຸກຄົນ, ສໍາລັບການຍົກຕົວຢ່າງ, vper ແທນ vyper, bitcoinnlib ແທນ bitcoinlib, ccryptofeed ແທນ cryptofeed, ccxtt ແທນທີ່ຈະເປັນ. ccxt, cryptocommpare ແທນ cryptocompare, seleium ແທນ selenium, pinstaller ແທນ pyinstaller, ແລະອື່ນໆ). ແພກເກດປະກອບມີລະຫັດ obfuscated ສໍາລັບການລັກ cryptocurrency, ເຊິ່ງກວດພົບວ່າມີຕົວລະບຸ wallet crypto ໃນ clipboard ແລະປ່ຽນໃຫ້ເຂົາເຈົ້າເຂົ້າໄປໃນ wallet ຂອງຜູ້ໂຈມຕີ (ມັນສົມມຸດວ່າໃນເວລາທີ່ເຮັດການຊໍາລະເງິນ, ຜູ້ເຄາະຮ້າຍຈະບໍ່ສັງເກດເຫັນວ່າຫມາຍເລກ wallet ໄດ້ໂອນຜ່ານ clipboard ໄດ້. ແມ່ນ​ແຕກ​ຕ່າງ​ກັນ). ການທົດແທນໄດ້ຖືກປະຕິບັດໂດຍ browser add-on ທີ່ຖືກປະຕິບັດໃນສະພາບການຂອງແຕ່ລະຫນ້າເວັບທີ່ເບິ່ງ.
• ຊຸດຂອງຫ້ອງສະຫມຸດ HTTP ທີ່ເປັນອັນຕະລາຍໄດ້ຖືກລະບຸໄວ້ໃນບ່ອນເກັບມ້ຽນ PyPI. ກິດຈະກໍາທີ່ເປັນອັນຕະລາຍໄດ້ຖືກພົບເຫັນຢູ່ໃນ 41 ແພກເກດ, ຊື່ທີ່ຖືກເລືອກໂດຍໃຊ້ວິທີການ typequatting ແລະຄ້າຍຄືກັບຫ້ອງສະຫມຸດທີ່ນິຍົມ (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, ແລະອື່ນໆ). stuffing ໄດ້ຖືກອອກແບບໃຫ້ຄ້າຍຄືກັບຫ້ອງສະຫມຸດ HTTP ທີ່ເຮັດວຽກຫຼືຄັດລອກລະຫັດຂອງຫ້ອງສະຫມຸດທີ່ມີຢູ່, ແລະຄໍາອະທິບາຍລວມເຖິງການຮຽກຮ້ອງກ່ຽວກັບຜົນປະໂຫຍດແລະການປຽບທຽບກັບຫ້ອງສະຫມຸດ HTTP ທີ່ຖືກຕ້ອງຕາມກົດຫມາຍ. ກິດຈະກໍາທີ່ເປັນອັນຕະລາຍປະກອບດ້ວຍການດາວໂຫຼດ malware ເຂົ້າໄປໃນລະບົບຫຼືເກັບກໍາແລະສົ່ງຂໍ້ມູນທີ່ລະອຽດອ່ອນ.
• NPM ໄດ້ກໍານົດ 16 ຊຸດ JavaScript (speedte*, trova*, lagra), ເຊິ່ງ, ນອກເຫນືອຈາກການທໍາງານທີ່ລະບຸໄວ້ (ການທົດສອບຜ່ານ), ຍັງມີລະຫັດສໍາລັບການຂຸດຄົ້ນ cryptocurrency ໂດຍບໍ່ມີຄວາມຮູ້ຂອງຜູ້ໃຊ້.
• ພົບແພັກເກດທີ່ເປັນອັນຕະລາຍ 691 ອັນໃນ NPM. ແພັກເກດທີ່ມີບັນຫາສ່ວນໃຫຍ່ໄດ້ປອມແປງເປັນໂຄງການ Yandex (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms, ແລະອື່ນໆ) ແລະ ລວມເອົາລະຫັດສຳລັບສົ່ງຂໍ້ມູນທີ່ເປັນຄວາມລັບໄປຫາເຊີບເວີພາຍນອກ. ເຊີບເວີເຊື່ອກັນວ່າຜູ້ທີ່ໂພສແພັກເກດເຫຼົ່ານັ້ນກຳລັງພະຍາຍາມທົດແທນການເພິ່ງພາອາໄສຂອງຕົນເອງເມື່ອສ້າງໂຄງການໃນ Yandex (ວິທີການທົດແທນການເພິ່ງພາອາໄສພາຍໃນ). ໃນບ່ອນເກັບມ້ຽນ PyPI, ນັກຄົ້ນຄວ້າຄົນດຽວກັນນີ້ໄດ້ພົບເຫັນ 49 ແພັກເກດ (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, ແລະອື່ນໆ) ທີ່ມີລະຫັດອັນຕະລາຍທີ່ຖືກສັບສົນທີ່ດາວໂຫຼດ ແລະ ແລ່ນໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ຈາກເຊີບເວີພາຍນອກ. ເຄື່ອງແມ່ຂ່າຍ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru