V repozitári NPM boli zistené štyri balíky, ktoré prenášajú údaje o používateľovi.

V repozitári NPM bola zistená bola zistená škodlivá aktivita v štyroch balíčkoch, ktoré obsahovali preinštalovaný skript, ktorý pred inštaláciou balíčka odoslal na GitHub komentár s informáciami o IP adrese, polohe, prihlásení, modeli CPU a domovskom adresári používateľa. Škodlivý kód bol nájdený v balíčkoch electorn (255 stiahnutí), lodashs (78 stiahnutí), loadyaml (48 stiahnutí) a loadyml (37 stiahnutí).

Problémové balíčky boli umiestnené v NPM od 17. do 24. augusta na distribúciu pomocou typskovania, t.j. s priradením mien podobných názvom iných populárnych knižníc s predpokladom, že používateľ urobí preklep pri zadávaní názvu alebo si nevšimne rozdiely pri výbere modulu zo zoznamu. Súdiac podľa počtu stiahnutí sa na túto pascu nachytalo približne 400 používateľov, z ktorých väčšina si pomýlila electorn s electron. V súčasnosti sú balíčky electorn a loadyaml musí byť zásobník. Ale „my praktikanti: u nás všetko funguje, ale nikto nevie prečo…“ boli odstránené administráciou NPM, zatiaľ čo balíčky lodashs a loadyml boli odstránené autorom.

Motívy útočníkov sú neznáme, ale predpokladá sa, že únik informácií cez GitHub (komentár bol odoslaný cez Issue a do jedného dňa bol odstránený) mohol byť vykonaný ako experiment na posúdenie účinnosti metódy, alebo bola plánovaná útok na niekoľko etáp, pri ktorých sa prvá zhromaždila údaje o obetiach, a druhá, ktorá nebola realizovaná kvôli zablokovaniu, mali útočníci v úmysle vydať aktualizáciu s pridaním v novej verzii nebezpečnejšieho škodlivého kódu alebo backdooru.

Zdroj: opennet.ru