НПМ идентификуваше 15 илјади фишинг и спам пакети

Беше снимен напад врз корисниците на директориумот НПМ, како резултат на кој на 20 февруари беа објавени повеќе од 15 илјади пакети во складиштето на НПМ, чии датотеки README содржеа линкови до страници за фишинг или линкови за упатување за кликови на кои авторски права се платени. За време на анализата, во пакетите беа идентификувани 190 уникатни фишинг или рекламни врски, кои опфаќаат 31 домен.

Имињата на пакетите беа избрани за да го привлечат интересот на обичните луѓе, на пример, „бесплатни следбеници на тикток“, „кодови за бесплатни xbox“, „без следбеници на Инстаграм“ итн. Пресметката беше направена за да се пополни списокот со неодамнешни ажурирања на главната страница на НПМ со спам пакети. Описите на пакетите вклучуваа линкови кои ветуваа бесплатни подароци, подароци, измами со игри, како и бесплатни услуги за зголемување на следбениците и лајковите на социјалните мрежи како што се TikTok и Instagram. Ова не е прв ваков напад, во декември беше снимено објавување на 144 илјади спам пакети во директориумите NuGet, NPM и PyPi.

Содржината на пакетите беше автоматски генерирана со помош на скрипта за питон која очигледно ненамерно била оставена во пакетите и ги вклучувала работните ингеренции користени во нападот. Пакетите беа објавени под многу различни сметки користејќи методи што го отежнуваа отплеткувањето на патеката и брзото идентификување на проблематичните пакети.

Покрај измамничките активности, беа откриени и неколку обиди за објавување на малициозни пакети во складиштата NPM и PyPi:

• Во складиштето PyPI беа пронајдени 451 малициозни пакети, кои се маскираа како некои популарни библиотеки кои користат типски кватирање (доделување слични имиња кои се разликуваат по поединечни знаци, на пример, vper наместо vyper, bitcoinnlib наместо bitcoinlib, ccryptofeed наместо cryptofeed, ccxtt наместо ccxt, cryptocommpare наместо cryptocompare, селеум наместо селен, pinstaller наместо pyinstaller, итн.). Пакетите вклучуваа заматен код за кражба на криптовалути, кој откри присуство на идентификатори на крипто паричник во таблата со исечоци и ги промени во паричникот на напаѓачот (се претпоставува дека при плаќањето, жртвата нема да забележи дека бројот на паричникот е пренесен преку таблата со исечоци е различно). Замената беше извршена од додаток за прелистувач кој беше извршен во контекст на секоја прегледана веб-страница.
• Во складиштето PyPI се идентификувани низа злонамерни HTTP библиотеки. Злонамерна активност беше пронајдена во 41 пакет, чии имиња беа избрани со методи за типкање и наликуваа на популарни библиотеки (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 итн.). Полнењето беше стилизирано да личи на работни библиотеки на HTTP или го копираше кодот на постоечките библиотеки, а описот вклучува тврдења за придобивките и споредбите со легитимните HTTP библиотеки. Злонамерната активност се состоеше или од преземање злонамерен софтвер на системот или од собирање и испраќање чувствителни податоци.
• НПМ идентификуваше 16 JavaScript пакети (speedte*, trova*, lagra), кои, покрај наведената функционалност (тестирање на пропусната моќ), содржеа и код за ископување криптовалути без знаење на корисникот.
• НПМ идентификуваше 691 малициозни пакети. Повеќето од проблематичните пакети се преправаа дека се проекти на Yandex (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms итн.) и вклучуваа код за испраќање доверливи информации на надворешни сервери. Се претпоставува дека оние што ги објавиле пакетите се обидувале да постигнат замена на сопствената зависност при составување проекти во Yandex (метод на замена на внатрешни зависности). Во складиштето PyPI, истите истражувачи пронајдоа 49 пакети (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, итн.) со заматен злонамерен код кој презема и извршува извршна датотека од надворешен сервер.

Извор: opennet.ru