No repositório NPM, foram identificados 25 pacotes maliciosos que se espalharam utilizando type squatting, ou seja, com nomes semelhantes aos de bibliotecas populares, na expectativa de que o usuário cometesse um erro de digitação ao inserir o nome ou não notasse as diferenças ao escolher um módulo na lista.
- 17 pacotes continham código malicioso para procurar tokens do Discord no sistema de arquivos local e enviá-los para o servidor dos invasores. Na maioria dos casos, as alterações maliciosas foram disfarçadas através da entrega de versões modificadas de bibliotecas legítimas como discord.js e colors.
- node-colors-sync
- color-self
- color-self-2
- lemaaa
- adv-discord-utility
- tools-for-discord
- purple-bitch
- purple-bitchs
- noblox.js-addons
- discord-selfbot-tools
- discord.js-aployscript-v11
- discord.js-selfbot-aployscript
- discord.js-selfbot-aployed
- discord.js-discord-selfbot-v4
- colors-beta
- vera.js
- discord-protection
- 5 pacotes incluíam código para enviar o conteúdo das variáveis de ambiente, que, por exemplo, poderiam conter chaves de acesso, tokens ou senhas para sistemas de integração contínua ou ambientes em nuvem, como AWS.
- wafer-text
- wafewafer-templater-countdown
- wafer-template
- wafer-darla
- mynewpkg
- 2 pacotes (markedjs, crypto-standarts) incluíam um trojan para organizar o acesso remoto ao sistema do usuário, permitindo a execução de código arbitrário em Python (Python remote code injector).
- 1 pacote (kakakaakaaa11aa) incluía um backdoor para controle remoto do sistema (Connectback shell).
Fonte: opennet.ru
