{"id":139659,"date":"2025-07-21T11:12:05","date_gmt":"2025-07-21T09:12:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami"},"modified":"2025-07-21T11:12:05","modified_gmt":"2025-07-21T09:12:05","slug":"fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","title":{"rendered":"Phishing permitiu o controle de v\u00e1rios pacotes populares do NPM.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Foi identificada uma ataque de phishing direcionado a bibliotecas JavaScript, onde uma mensagem foi enviada em nome do servi\u00e7o NPM, solicitando a confirma\u00e7\u00e3o do e-mail. O ataque permitiu que os criminosos conseguissem tokens NPM de um dos grandes projetos JavaScript e lan\u00e7assem atualiza\u00e7\u00f5es com c\u00f3digo malicioso para cinco pacotes NPM, totalizando cerca de 100 milh\u00f5es de downloads por semana. <\/p>\n
A mensagem enviada pelo acompanhante foi estilizada para se assemelhar a notifica\u00e7\u00f5es padr\u00e3o do NPM, enviadas do endere\u00e7o \"support@npmjs.org\", mas o dom\u00ednio \"npnjs.com\" foi fornecido como link em vez de \"npmjs.com\" (a terceira letra \"n\" em vez de \"m\"). Os atacantes exploraram um efeito psicol\u00f3gico, onde o c\u00e9rebro, antecipando o resultado esperado, n\u00e3o percebe distor\u00e7\u00f5es sutis, como substitui\u00e7\u00f5es de letras por semelhantes ou mudan\u00e7as na ordem das letras na palavra. Ao clicar no link, uma c\u00f3pia completa do site npmjs.com era aberta (provavelmente um proxy foi configurado para interceptar o token de acesso).
<\/center> <\/p>\n
Durante o ataque, novas vers\u00f5es dos pacotes foram criadas: <\/p>\n
As vers\u00f5es criadas continham c\u00f3digo malicioso projetado para atacar usu\u00e1rios da plataforma Windows. As altera\u00e7\u00f5es feitas carregavam a biblioteca node-gyp.dll, que possui funcionalidade para execu\u00e7\u00e3o remota de comandos no sistema. <\/p>\n
O respons\u00e1vel percebeu que havia sido v\u00edtima de phishing cerca de uma hora ap\u00f3s receber a primeira reclama\u00e7\u00e3o sobre a publica\u00e7\u00e3o de vers\u00f5es suspeitas. Ele imediatamente revogou o token de acesso, alterou senhas e marcou as vers\u00f5es problem\u00e1ticas como obsoletas para evitar downloads por sistemas de compila\u00e7\u00e3o automatizados, al\u00e9m de ter enviado um pedido para remo\u00e7\u00e3o das vers\u00f5es problem\u00e1ticas do reposit\u00f3rio ao suporte do NPM. <\/p>\n
N\u00e3o est\u00e1 especificado quantos usu\u00e1rios conseguiram baixar as vers\u00f5es maliciosas (por exemplo, a vers\u00e3o maliciosa do pacote eslint-plugin-prettier permaneceu no reposit\u00f3rio por cerca de dois dias). Na semana passada, o pacote eslint-config-prettier contabilizou 30 milh\u00f5es de downloads e foi utilizado como depend\u00eancia por 11.762 pacotes, o pacote eslint-plugin-prettier \u2014 21 milh\u00f5es de downloads (8.468 pacotes dependentes), synckit \u2014 18 milh\u00f5es, @pkgr\/core \u2014 16 milh\u00f5es e napi-postinstall \u2014 10 milh\u00f5es. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Phishing](\"\/wp-content\/uploads\/2025\/07\/0d5e2613f7265b3fcca6ee367c0ecac9.png\")
<\/center> <\/p>\n