Kwaadwillenden zijn erin geslaagd om controle te krijgen over het NPM-pakket coa en hebben updates 2.0.3, 2.0.4, 2.1.1, 2.1.3 en 3.1.3 uitgebracht die schadelijke wijzigingen bevatten. Het pakket coa, dat functies biedt voor het parseren van commandoregelargumenten, heeft ongeveer 9 miljoen downloads per week en wordt als afhankelijkheid gebruikt door 159 andere NPM-pakketten, waaronder react-scripts en vue/cli-service. Het NPM-beheer heeft de release met schadelijke wijzigingen al verwijderd en de publicatie van nieuwe versies geblokkeerd totdat de toegang tot het repository van de hoofdontwikkelaar is hersteld.
De aanval werd uitgevoerd via een gehackte ontwikkelaarsaccount van het project. De toegevoegde schadelijke wijzigingen zijn vergelijkbaar met die welke twee weken geleden werden gebruikt in de aanval op gebruikers van het NPM-pakket UAParser.js, maar waren beperkt tot een aanval op het Windоws-platform (de downloadblokken voor Linux en macOS bevatten lege placeholders). Op het systeem van de gebruiker werd er vanaf een externe host een uitvoerbaar bestand gedownload en uitgevoerd om Monero-cryptovaluta te minen (de XMRig-miner werd gebruikt) en werd er een bibliotheek geïnstalleerd om wachtwoorden te onderscheppen.
Bij het samenstellen van het pakket met schadelijke code is er een fout gemaakt, waardoor de installatie van het pakket mislukte, zodat het probleem snel werd ontdekt en de verspreiding van de schadelijke update in een vroeg stadium werd geblokkeerd. Gebruikers moeten ervoor zorgen dat ze versie coa 2.0.2 hebben geïnstalleerd en het is wenselijk om in package.json van hun projecten een bindende versie toe te voegen voor het geval van een herhaalde compromittering. npm en yarn: "resolutions": { "coa": "2.0.2" }, pnpm: "pnpm": { "overrides": { "coa": "2.0.2" } },
Bron: opennet.ru
