Os invasores conseguiram obter controle sobre o pacote NPM coa e lançaram as versões 2.0.3, 2.0.4, 2.1.1, 2.1.3 e 3.1.3, que incluem alterações maliciosas. O pacote coa, que fornece funções para análise de argumentos de linha de comando, tem cerca de 9 milhões de downloads por semana e é utilizado como dependência em 159 outros pacotes NPM, incluindo react-scripts e vue/cli-service. A administração do NPM já removeu a versão com alterações maliciosas e bloqueou a publicação de novas versões até que o acesso ao repositório do desenvolvedor principal seja restaurado.
O ataque foi realizado através da invasão da conta do desenvolvedor do projeto. As alterações maliciosas adicionadas são semelhantes às usadas em um ataque ocorrido há duas semanas contra usuários do pacote NPM UAParser.js, mas se limitaram a atacar apenas a plataforma Windows (nos blocos de download para Linux e macOS foram deixados espaços vazios). Um arquivo executável para mineração da criptomoeda Monero (o minerador XMRig foi utilizado) foi carregado e executado no sistema do usuário a partir de um host externo e uma biblioteca para captura de senhas foi instalada.
Ao formar o pacote com o código malicioso, ocorreu um erro que causou uma falha na instalação do pacote, portanto, o problema foi rapidamente identificado e a disseminação da atualização maliciosa foi bloqueada em um estágio inicial. O usuário deve garantir que possui a versão coa 2.0.2 instalada e, preferencialmente, adicionar ao package.json de seus projetos um vínculo com a versão funcional, caso ocorra uma nova comprometimento. npm e yarn: "resolutions": { "coa": "2.0.2" }, pnpm: "pnpm": { "overrides": { "coa": "2.0.2" } },
Fonte: opennet.ru
