Bola zaznamenaná phishingová útok na JavaScriptové knižnice, pri ktorom bola od služby NPM odoslaná správa upozorňujúca na potrebu potvrdiť svoj email. Uspešný útok umožnil útočníkom získať NPM tokeny správcov jedného z veľkých JavaScript projektov a uvoľniť aktualizácie so škodlivým kódom pre päť NPM balíkov, ktoré celkovo dosiahli približne 100 miliónov stiahnutí týždenne.
Odoslaná správa bola stylizovaná ako štandardné upozornenia NPM, odoslané z adresy „support@npmjs.org“, ale ako odkaz na prechod bola uvedená doména „npnjs.com“ namiesto „npmjs.com“ (tretie písmeno „n“ namiesto „m“). Útočníci využili psychologický efekt, pri ktorom mozog, očakávajúc výsledok, nezaznamenáva drobné skreslenia, ako je zmena písmen na podobné alebo zmena poradia písmen v slove. Pri prechode na odkaz sa otvorila úplná kópia webovej stránky npmjs.com (pravdepodobne bol nastavený proxy, zachytávajúci prístupový token).
Počas útoku boli vytvorené nové verzie balíkov:
- eslint-config-prettier: 8.10.1, 9.1.1, 10.1.6, 10.1.7.
- eslint-plugin-prettier: 4.2.2, 4.2.3.
- synckit: 0.11.9.
- @pkgr/core: 0.2.8.
- napi-postinstall: 0.3.1.
Do vytvorených vydaní bol pridaný škodlivý kód na útok na používateľov systému Windows. Zmenené verzie nahrávali knižnicu node-gyp.dll, ktorá obsahovala funkčnosť pre vzdialené vykonávanie príkazov v systéme.
Správca si všimol, že sa stal obeťou phishingu približne hodinu po prvej sťažnosti na publikovanie podozrivých vydaní. Okamžite zrušil prístupový token, zmenil heslá a označil problematické verzie ako zastarané, aby zabránil ich sťahovaniu automatizovanými systémami a poslal žiadosť o odstránenie problematických verzií zo skladu do technickej podpory NPM.
Nie je upresnené, koľko používateľov stihlo stiahnuť škodlivé verzie (napríklad škodlivá verzia balíka eslint-plugin-prettier zostávala v sklade približne dva dni). V priebehu minulého týždňa balík eslint-config-prettier zaznamenal 30 miliónov stiahnutí a bol použitý ako závislosť pri 11762 balíkoch, balík eslint-plugin-prettier mal 21 miliónov stiahnutí (8468 závislých balíkov), synckit - 18 miliónov, @pkgr/core - 16 miliónov a napi-postinstall - 10 miliónov.
Zdroj: opennet.ru
