No repositório NPM atividade maliciosa em quatro pacotes, incluindo um script preinstall que enviava um comentário para o GitHub com informações sobre o endereço IP, localização, login, modelo da CPU e diretório inicial do usuário antes da instalação do pacote. O código malicioso foi encontrado nos pacotes (255 downloads), (78 downloads), (48 downloads) e (37 downloads).
Os pacotes problemáticos foram publicados no NPM de 17 a 24 de agosto para disseminação usando , ou seja, nomeando-os de maneira semelhante a outras bibliotecas populares, visando que o usuário cometa um erro de digitação ao inserir o nome ou não note as diferenças ao escolher um módulo na lista. Judging pelo número de downloads, cerca de 400 usuários caíram nessa armadilha, sendo que a maioria confundiu electorn com electron. Atualmente, os pacotes electorn e loadyaml foram removidos pela administração do NPM, enquanto os pacotes lodashs e loadyml foram deletados pelo autor.
Os motivos dos atacantes são desconhecidos, mas acredita-se que a vazamento de informações via GitHub (o comentário foi enviado através de uma Issue e deletado em um dia) poderia ter sido realizado como parte de um experimento para avaliar a efetividade do método, ou poderia ter sido um ataque planejado em várias etapas, onde na primeira coletavam dados das vítimas e na segunda, que não se concretizou devido ao bloqueio, os atacantes pretendiam lançar uma atualização com a inclusão de um código malicioso ou backdoor mais perigoso na nova versão.
Fonte: opennet.ru
