{"id":102213,"date":"2021-11-05T03:36:51","date_gmt":"2021-11-05T01:36:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-paket-coa-naschityvayushhij-9-mln-zagruzok-v-nedelyu-vnedreno-vredonosnoe-po"},"modified":"2021-11-05T03:36:51","modified_gmt":"2021-11-05T01:36:51","slug":"v-npm-paket-coa-naschityvayushhij-9-mln-zagruzok-v-nedelyu-vnedreno-vredonosnoe-po","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/v-npm-paket-coa-naschityvayushhij-9-mln-zagruzok-v-nedelyu-vnedreno-vredonosnoe-po","title":{"rendered":"No pacote NPM coa, que conta com 9 milh\u00f5es de downloads por semana, foi introduzido malware.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Os invasores conseguiram obter controle sobre o pacote NPM coa e lan\u00e7aram as vers\u00f5es 2.0.3, 2.0.4, 2.1.1, 2.1.3 e 3.1.3, que incluem altera\u00e7\u00f5es maliciosas. O pacote coa, que fornece fun\u00e7\u00f5es para an\u00e1lise de argumentos de linha de comando, tem cerca de 9 milh\u00f5es de downloads por semana e \u00e9 utilizado como depend\u00eancia em 159 outros pacotes NPM, incluindo react-scripts e vue\/cli-service. A administra\u00e7\u00e3o do NPM j\u00e1 removeu a vers\u00e3o com altera\u00e7\u00f5es maliciosas e bloqueou a publica\u00e7\u00e3o de novas vers\u00f5es at\u00e9 que o acesso ao reposit\u00f3rio do desenvolvedor principal seja restaurado. <\/p>\n
O ataque foi realizado atrav\u00e9s da invas\u00e3o da conta do desenvolvedor do projeto. As altera\u00e7\u00f5es maliciosas adicionadas s\u00e3o semelhantes \u00e0s usadas em um ataque ocorrido h\u00e1 duas semanas contra usu\u00e1rios do pacote NPM UAParser.js, mas se limitaram a atacar apenas a plataforma Windows (nos blocos de download para Linux e macOS foram deixados espa\u00e7os vazios). Um arquivo execut\u00e1vel para minera\u00e7\u00e3o da criptomoeda Monero (o minerador XMRig foi utilizado) foi carregado e executado no sistema do usu\u00e1rio a partir de um host externo e uma biblioteca para captura de senhas foi instalada. <\/p>\n
Houve um erro na forma\u00e7\u00e3o do pacote com c\u00f3digo malicioso, que causou falhas na instala\u00e7\u00e3o do pacote. Assim, o problema foi rapidamente identificado e a distribui\u00e7\u00e3o da atualiza\u00e7\u00e3o maliciosa foi bloqueada em uma fase inicial. O usu\u00e1rio deve garantir que tenha instalada a vers\u00e3o coa 2.0.2 e, de prefer\u00eancia, adicionar ao package.json de seus projetos um v\u00ednculo com a vers\u00e3o est\u00e1vel para o caso de uma nova comprometimento. npm e yarn: \"resolutions\": { \"coa\": \"2.0.2\" }, pnpm: \"pnpm\": { \"overrides\": { \"coa\": \"2.0.2\" } } \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"