{"id":106945,"date":"2023-02-26T12:49:02","date_gmt":"2023-02-26T10:49:03","guid":{"rendered":"https:\/\/prohoster.info\/?p=106945"},"modified":"2023-02-27T12:02:06","modified_gmt":"2023-02-27T10:02:06","slug":"v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","title":{"rendered":"In NPM zijn 15.000 pakketten met phishing en spam ontdekt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Er is een aanval geregistreerd op gebruikers van de NPM-catalogus, waarbij op 20 februari meer dan 15.000 pakketten in de NPM-repository zijn geplaatst, in de README-bestanden waarvan links naar phishingwebsites of affiliate-links aanwezig waren, waarvoor een vergoeding wordt betaald bij klikken. Tijdens de analyse zijn er 190 unieke phishing- of reclame-links ontdekt, die 31 domeinen dekken. <\/p>\n
Pakketnamen zijn gekozen om de interesse van het publiek te wekken, zoals «free-tiktok-followers», «free-xbox-codes», «instagram-followers-free», enzovoort. De strategie was gericht op het vullen van de lijst met recente updates op de startpagina van NPM met spam-pakketten. In de beschrijvingen van de pakketten stonden links die beloofden gratis giveaways, geschenken, game cheats en gratis diensten voor het verhogen van volgers en likes op sociale media zoals TikTok en Instagram. Dit is niet de eerste aanval van deze aard; in december werden in de catalogi van NuGet, NPM en PyPi 144.000 spam-pakketten gepubliceerd.
<\/center> <\/p>\n
De inhoud van de pakketten was automatisch gegenereerd met behulp van een python-script, dat blijkbaar per ongeluk in de pakketten was achtergelaten en werkende inloggegevens bevatte die tijdens de aanval werden gebruikt. De pakketten werden gepubliceerd onder verschillende accounts met methoden die het ingewikkeld maken om de sporen te volgen en de probleem-pakketten snel te identificeren. <\/p>\n
Naast de frauduleuze activiteiten zijn er ook verschillende pogingen tot publicatie van schadelijke pakketten in de NPM- en PyPi-repositories vastgesteld: <\/p>\n
\n
In de PyPI-repository zijn 451 kwaadaardige pakketten gevonden die zich verhuld hebben als populaire bibliotheken door middel van typosquatting (het gebruik van vergelijkbare namen die verschillen door afzonderlijke symbolen, zoals vper in plaats van vyper, bitcoinnlib in plaats van bitcoinlib, ccryptofeed in plaats van cryptofeed, ccxtt in plaats van ccxt, cryptocommpare in plaats van cryptocompare, seleium in plaats van selenium, pinstaller in plaats van pyinstaller, enzovoort). De pakketten bevatten obfuscated code voor het stelen van cryptocurrency, die de aanwezigheid van cryptocurrency-wallet-ID's in het klembord determineerde en deze verving door de wallet van de aanvaller (vermoedelijk merkt het slachtoffer niet dat het overgedragen wallet-nummer verschilt tijdens een betaling). De vervangingen werden uitgevoerd door een browserextensie die werkte in de context van elke bezochte webpagina.\n
In de PyPI-repository is een reeks kwaadaardige HTTP-bibliotheken ontdekt. Kwaadaardige activiteiten werden aangetroffen in 41 pakketten, waarvan de namen zijn gekozen met behulp van typosquattingstechnieken en doen denken aan populaire bibliotheken (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, enzovoort). De inhoud was gestileerd als werkende HTTP-bibliotheken of kopieerde de code van bestaande bibliotheken, en de beschrijving bevatte claims over voordelen en vergelijkingen met legitieme HTTP-bibliotheken. De kwaadaardige activiteiten bestonden uit het ofwel downloaden van malware naar het systeem of het verzamelen en verzenden van vertrouwelijke gegevens.\n
In NPM zijn 16 JavaScript-pakketten (speedte*, trova*, lagra) ontdekt die, naast de geclaimde functionaliteit (bandbreedtetests), ook code bevatten voor het minen van cryptocurrency zonder medeweten van de gebruiker.\n
![\"In](\"\/wp-content\/uploads\/2023\/02\/434214f596ba6d4174a3f0a8eae982e4.jpg\")
<\/center> <\/p>\n