Útočníkom sa podarilo získať kontrolu nad balíkom coa NPM a vydať aktualizácie 2.0.3, 2.0.4, 2.1.1, 2.1.3 a 3.1.3, ktoré obsahovali škodlivé zmeny. Balík coa, ktorý poskytuje funkcie na analýzu argumentov príkazového riadku, sa sťahuje približne 9 miliónov krát týždenne a používa ho ako závislosť 159 ďalších balíkov NPM vrátane react-scripts a vue/cli-service. Administrácia NPM už odstránila vydanie obsahujúce škodlivé zmeny a zablokovala publikovanie nových verzií, kým sa neobnoví prístup k repozitáru vývojára.
Útok bol vykonaný hackerským útokom na vývojársky účet projektu. Pridané škodlivé úpravy sú podobné tým, ktoré boli použité pri útoku vykonanom pred dvoma týždňami na používateľov balíka UAParser.js NPM, ale boli obmedzené na platformu Windows (v blokoch sťahovania pre Linux и macOS (Boli ponechané prázdne zástupné symboly). Spustiteľný súbor na ťažbu kryptomeny Monero (bol použitý miner XMRig) bol stiahnutý a spustený do systému používateľa z externého hostiteľa a bola nainštalovaná knižnica na zachytávanie hesiel.
Do škodlivého balíka bola zavedená chyba, ktorá spôsobila jeho neúspešnú inštaláciu. Problém bol rýchlo identifikovaný a škodlivá aktualizácia bola včas zablokovaná. Používatelia by sa mali uistiť, že majú nainštalovaný balík coa 2.0.2, a je vhodné pridať odkaz na funkčnú verziu do súboru package.json svojho projektu pre prípad ďalšieho ohrozenia. npm a yarn: "resolutions": { "coa": "2.0.2" }, pnpm: "pnpm": { "overrides": { "coa": "2.0.2" } },
Zdroj: opennet.ru
