No repositório NPM, foram identificados 17 pacotes maliciosos que estavam sendo distribuídos usando typosquatting, ou seja, dando nomes semelhantes aos de bibliotecas populares com a expectativa de que o usuário cometa um erro de digitação ao inserir o nome ou não perceba as diferenças ao escolher um módulo na lista.
Os pacotes discord-selfbot-v14, discord-lofy, discordsystem e discord-vilao utilizavam uma versão modificada da biblioteca legítima discord.js, que oferece funcionalidades para interação com a API do Discord. Os componentes maliciosos foram integrados em um dos arquivos do pacote e incluíam cerca de 4000 linhas de código, disfarçadas pelo uso de distorção dos nomes das variáveis, criptografia de strings e má formatação do código. O código vasculhava o sistema de arquivos local em busca de tokens do Discord e, ao encontrá-los, os enviava para servidor atacantes.
O pacote fix-error foi declarado como um corretor de bugs no Discord selfbot, mas incluía um trojan chamado PirateStealer, que realizava o roubo de números de cartões de crédito e contas associadas ao Discord. O componente malicioso era ativado pela injeção de código JavaScript no cliente Discord.
O pacote prerequests-xcode incluía um trojan para organização de acesso remoto ao sistema do usuário, baseado em um aplicativo Python chamado DiscordRAT.
Acredita-se que o acesso aos servidores do Discord poderia ser necessário para que os atacantes implantassem pontos de controle do botnet, como um proxy para carregar informações de sistemas invadidos, ofuscar rastros durante ataques, disseminar malware entre os usuários do Discord ou revender contas premium.
Os pacotes wafer-bind, wafer-autocomplete, wafer-beacon, wafer-caas, wafer-toggle, wafer-geolocation, wafer-image, wafer-form, wafer-lightbox, octavius-public e mrg-message-broker incluíam código para enviar o conteúdo de variáveis de ambiente, que poderiam incluir, por exemplo, chaves de acesso, tokens ou senhas para sistemas de integração contínua ou ambientes em nuvem, como o AWS.
Fonte: opennet.ru
