NPM ले 15 हजार फिसिङ र स्प्याम प्याकेजहरू पहिचान गर्यो

NPM डाइरेक्टरीका प्रयोगकर्ताहरूमा आक्रमण रेकर्ड गरिएको थियो, जसको फलस्वरूप फेब्रुअरी 20 मा, NPM भण्डारमा 15 हजार भन्दा बढी प्याकेजहरू पोस्ट गरिएको थियो, जसको README फाइलहरूमा फिसिङ साइटहरूको लिङ्कहरू वा क्लिकहरूका लागि रेफरल लिङ्कहरू समावेश थिए। भुक्तान गरिन्छ। विश्लेषणको क्रममा, प्याकेजहरूमा 190 अद्वितीय फिसिङ वा विज्ञापन लिङ्कहरू पहिचान गरियो, 31 डोमेनहरू कभर।

प्याकेजहरूको नामहरू साधारण मानिसहरूको चासोलाई आकर्षित गर्न छनौट गरिएको थियो, उदाहरणका लागि, "free-tiktok-followers", "free-xbox-codes", "instagram-followers-free", आदि। स्प्याम प्याकेजहरूको साथ NPM मुख्य पृष्ठमा भर्खरका अद्यावधिकहरूको सूची भर्नको लागि गणना गरिएको थियो। प्याकेजहरूको विवरणमा टिकटक र इन्स्टाग्राम जस्ता सामाजिक सञ्जालहरूमा फलोअरहरू र लाइकहरू बढाउनका लागि निःशुल्क उपहारहरू, उपहारहरू, गेम चिटहरू, साथै नि:शुल्क सेवाहरूको प्रतिज्ञा गर्ने लिङ्कहरू समावेश थिए। यो पहिलो यस्तो आक्रमण होइन; डिसेम्बरमा, 144 हजार स्प्याम प्याकेजहरूको प्रकाशन NuGet, NPM र PyPi निर्देशिकाहरूमा रेकर्ड गरिएको थियो।

प्याकेजहरूको सामग्रीहरू स्वचालित रूपमा पाइथन स्क्रिप्ट प्रयोग गरेर उत्पन्न गरिएको थियो जुन स्पष्ट रूपमा अनजाने रूपमा प्याकेजहरूमा छोडिएको थियो र आक्रमणमा प्रयोग गरिएको कार्य प्रमाणहरू समावेश गरिएको थियो। प्याकेजहरू धेरै फरक खाताहरू अन्तर्गत प्रकाशित गरिएको थियो जुन तरिकाहरू प्रयोग गरेर ट्रेल खोल्न र समस्याग्रस्त प्याकेजहरू छिटो पहिचान गर्न गाह्रो बनायो।

धोखाधडी गतिविधिहरूको अतिरिक्त, NPM र PyPi भण्डारहरूमा पनि खराब प्याकेजहरू प्रकाशित गर्ने धेरै प्रयासहरू पत्ता लगाइयो:

• PyPI रिपोजिटरीमा 451 मालिसियस प्याकेजहरू फेला परेका थिए, जसले टाइपक्वाटिङ् प्रयोग गरेर केही लोकप्रिय पुस्तकालयहरूको रूपमा भेषमा राखेका थिए (व्यक्तिगत क्यारेक्टरहरूमा भिन्न हुने समान नामहरू, उदाहरणका लागि, vyper को सट्टा vper, bitcoinlib को सट्टा bitcoinnlib, cryptofeed को सट्टा ccryptofeed, ccxtt को सट्टा। ccxt, cryptocompare को सट्टा cryptocommpare, seleium को सट्टा सेलेनियम, pinstaller को सट्टा pyinstaller, आदि)। प्याकेजहरूमा क्रिप्टोकरेन्सी चोर्नका लागि अस्पष्ट कोड समावेश गरिएको थियो, जसले क्लिपबोर्डमा क्रिप्टो वालेट पहिचानकर्ताहरूको उपस्थिति पत्ता लगायो र तिनीहरूलाई आक्रमणकारीको वालेटमा परिवर्तन गर्‍यो (यो मानिन्छ कि भुक्तान गर्दा, पीडितले क्लिपबोर्ड मार्फत वालेट नम्बर हस्तान्तरण गरेको याद गर्दैन। फरक छ)। प्रतिस्थापन ब्राउजर एड-अन द्वारा गरिएको थियो जुन प्रत्येक वेब पृष्ठ हेरिएको सन्दर्भमा कार्यान्वयन गरिएको थियो।
• PyPI भण्डारमा खराब HTTP पुस्तकालयहरूको एक श्रृंखला पहिचान गरिएको छ। खराब गतिविधि 41 प्याकेजहरूमा फेला पर्यो, जसका नामहरू टाइपक्वाटिंग विधिहरू प्रयोग गरी चयन गरिएका थिए र लोकप्रिय पुस्तकालयहरू (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, आदि) को प्रयोग गरी चयन गरिएको थियो। स्टफिङलाई काम गर्ने HTTP पुस्तकालयहरूसँग मिल्दोजुल्दो बनाउन वा अवस्थित पुस्तकालयहरूको कोड प्रतिलिपि गरिएको स्टाइल गरिएको थियो, र विवरणमा वैध HTTP पुस्तकालयहरूसँग फाइदाहरू र तुलनाहरू समावेश छन्। खराब गतिविधिले प्रणालीमा मालवेयर डाउनलोड गर्ने वा संवेदनशील डेटा सङ्कलन र पठाउने समावेश गर्दछ।
• NPM ले १६ JavaScript प्याकेजहरू (speedte*, trova*, lagra) पहिचान गर्‍यो, जसमा उल्लेखित कार्यक्षमता (थ्रुपुट परीक्षण) को अतिरिक्त, प्रयोगकर्ताको ज्ञान बिना क्रिप्टोकरन्सी खननका लागि कोड पनि समावेश थियो।
• NPM 691 मालिसियस प्याकेजहरू पहिचान गर्यो। धेरै जसो समस्याग्रस्त प्याकेजहरू Yandex परियोजनाहरू (yandex-logger-sentry, yandex-logger-qloud, yandex-sendms, आदि) को बहाना गरियो र बाह्य सर्भरहरूमा गोप्य जानकारी पठाउनको लागि कोड समावेश गरियो। यो मानिन्छ कि प्याकेजहरू पोस्ट गर्नेहरूले Yandex (आन्तरिक निर्भरताहरू प्रतिस्थापन गर्ने विधि) मा परियोजनाहरू जम्मा गर्दा आफ्नै निर्भरताको प्रतिस्थापन प्राप्त गर्ने प्रयास गरिरहेका थिए। PyPI भण्डारमा, उही शोधकर्ताहरूले 49 प्याकेजहरू फेला पारे (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, आदि) अस्पष्ट मालिसियस कोडका साथ जसले बाह्य सर्भरबाट कार्यान्वयनयोग्य फाइल डाउनलोड र चलाउँछ।

स्रोत: opennet.ru