Злонамерен софтвер се вбризгува во UAParser.js NPM пакет со 8 милиони преземања неделно

Приказната за отстранувањето од складиштето на NPM на три малициозни пакети што го копираа кодот на библиотеката UAParser.js доби неочекувано продолжение - непознати напаѓачи ја зазедоа контролата врз сметката на авторот на проектот UAParser.js и објавија ажурирања што содржат код за крадење лозинки и ископување криптовалути.

Проблемот е што библиотеката UAParser.js, која нуди функции за парсирање на заглавието на корисничкиот агент HTTP, има околу 8 милиони преземања неделно и се користи како зависност во повеќе од 1200 проекти. Се наведува дека UAParser.js се користи во проекти на компании како Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP и Verison .

Нападот е извршен преку хакирање на сметката на развивачот на проектот, кој сфатил дека нешто не е во ред откако необичен бран спам паднал во неговото поштенско сандаче. Како точно била хакирана сметката на програмерот не е објавено. Напаѓачите создадоа изданија 0.7.29, 0.8.0 и 1.0.0, воведувајќи злонамерен код во нив. За неколку часа, програмерите ја вратија контролата врз проектот и создадоа ажурирања 0.7.30, 0.8.1 и 1.0.1 за да го решат проблемот. Злонамерните верзии беа објавени само како пакети во складиштето на НПМ. Не беше засегнато складиштето Git на проектот на GitHub. На сите корисници кои имаат инсталирано проблематични верзии, доколку ја најдат датотеката jsextension на Linux/macOS и датотеките jsextension.exe и create.dll на Windows, им се препорачува да го сметаат системот за компромитиран.

Додадените злонамерни промени потсетуваа на промените претходно предложени во клоновите на UAParser.js, кои се чинеше дека беа објавени за тестирање на функционалноста пред да започне напад од големи размери на главниот проект. Извршната датотека jsextension беше преземена и лансирана на системот на корисникот од надворешен домаќин, кој беше избран во зависност од платформата на корисникот и поддржана работа на Linux, macOS и Windows. За платформата Windows, покрај програмата за ископување на криптовалутата Monero (се користеше рударот XMRig), напаѓачите организираа и воведување на библиотеката create.dll за пресретнување на лозинки и нивно испраќање до надворешен хост.

Кодот за преземање е додаден во датотеката preinstall.sh, во која се вметнува IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') ако [ -z " $ IP" ] ... преземете ја и стартувајте ја извршната датотека fi

Како што може да се види од кодот, скриптата прво ја провери IP адресата во услугата freegeoip.app и не лансираше злонамерна апликација за корисници од Русија, Украина, Белорусија и Казахстан.

Извор: opennet.ru