{"id":106945,"date":"2023-02-26T12:49:02","date_gmt":"2023-02-26T10:49:03","guid":{"rendered":"https:\/\/prohoster.info\/?p=106945"},"modified":"2023-02-27T12:02:06","modified_gmt":"2023-02-27T10:02:06","slug":"v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","title":{"rendered":"Foram identificados 15 mil pacotes de phishing e spam no NPM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Foi registrada um ataque a usu\u00e1rios do cat\u00e1logo NPM, resultando na publica\u00e7\u00e3o de mais de 15 mil pacotes no reposit\u00f3rio NPM em 20 de fevereiro, cujos arquivos README continham links para sites de phishing ou links de refer\u00eancia que pagam comiss\u00f5es por cliques. Durante a an\u00e1lise, foram encontradas 190 links de phishing ou publicit\u00e1rios \u00fanicos, abrangendo 31 dom\u00ednios. <\/p>\n
Os nomes dos pacotes foram escolhidos para atrair a aten\u00e7\u00e3o do p\u00fablico, como «free-tiktok-followers», «free-xbox-codes» e «instagram-followers-free». A estrat\u00e9gia era preencher a lista de atualiza\u00e7\u00f5es mais recentes na p\u00e1gina principal do NPM com pacotes de spam. Nas descri\u00e7\u00f5es dos pacotes, eram fornecidos links prometendo distribui\u00e7\u00f5es gratuitas, pr\u00eamios, cheats de jogos, al\u00e9m de servi\u00e7os gratuitos para aumentar seguidores e curtidas nas redes sociais, como TikTok e Instagram. Este n\u00e3o \u00e9 o primeiro ataque desse tipo; em dezembro, foram constatadas a publica\u00e7\u00e3o de 144 mil pacotes de spam nos reposit\u00f3rios NuGet, NPM e PyPi.
<\/center> <\/p>\n
O conte\u00fado dos pacotes foi gerado automaticamente usando um script Python, que aparentemente foi deixado nos pacotes por descuido e continha credenciais de trabalho utilizadas durante o ataque. Os pacotes foram publicados sob v\u00e1rias contas diferentes usando m\u00e9todos que dificultam o rastreamento de pistas e a identifica\u00e7\u00e3o r\u00e1pida de pacotes problem\u00e1ticos. <\/p>\n
Al\u00e9m das atividades fraudulentas nos reposit\u00f3rios NPM e PyPi, tamb\u00e9m foram identificadas v\u00e1rias tentativas de publica\u00e7\u00e3o de pacotes maliciosos: <\/p>\n
\n
No reposit\u00f3rio PyPI foram encontrados 451 pacotes maliciosos que se disfar\u00e7avam de algumas bibliotecas populares usando type squatting (atribui\u00e7\u00e3o de nomes semelhantes, diferindo por caracteres espec\u00edficos, como vper em vez de vyper, bitcoinnlib em vez de bitcoinlib, ccryptofeed em vez de cryptofeed, ccxtt em vez de ccxt, cryptocommpare em vez de cryptocompare, seleium em vez de selenium, pinstaller em vez de pyinstaller e assim por diante). Os pacotes inclu\u00edam c\u00f3digo ofuscado para roubo de criptomoeda, que identificava a presen\u00e7a de identificadores de carteiras criptogr\u00e1ficas na \u00e1rea de transfer\u00eancia e os substitu\u00eda pela carteira do invasor (sup\u00f5e-se que, ao realizar o pagamento, a v\u00edtima n\u00e3o perceba que o n\u00famero da carteira transferido pela \u00e1rea de transfer\u00eancia \u00e9 diferente). A substitui\u00e7\u00e3o era realizada por uma extens\u00e3o embutida no navegador, que era executada no contexto de cada p\u00e1gina da web visitada.\n
No reposit\u00f3rio PyPI foi identificada uma s\u00e9rie de bibliotecas HTTP maliciosas. A atividade maliciosa foi encontrada em 41 pacotes, cujos nomes foram escolhidos usando m\u00e9todos de type squatting e lembravam bibliotecas populares (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 e assim por diante). O conte\u00fado estava estilizado como bibliotecas HTTP em funcionamento ou copiava o c\u00f3digo de bibliotecas existentes, e na descri\u00e7\u00e3o eram apresentadas afirma\u00e7\u00f5es sobre vantagens e compara\u00e7\u00f5es com bibliotecas HTTP leg\u00edtimas. A atividade maliciosa tinha como objetivo ou a instala\u00e7\u00e3o de malware no sistema, ou a coleta e o envio de dados confidenciais.\n
No NPM foram identificados 16 pacotes JavaScript (speedte*, trova*, lagra), que al\u00e9m da funcionalidade anunciada (teste de largura de banda), tamb\u00e9m continham c\u00f3digo para minera\u00e7\u00e3o de criptomoeda sem o conhecimento do usu\u00e1rio.\n
![\"Foram](\"\/wp-content\/uploads\/2023\/02\/434214f596ba6d4174a3f0a8eae982e4.jpg\")
<\/center> <\/p>\n