V repozitári NPM bolo identifikovaných 17 škodlivých balíkov, ktoré sa šírili pomocou typiskotingu, t.j. s určením mien podobných názvom populárnych knižníc s predpokladom, že používateľ spraví preklep pri zadávaní mena alebo si nevšimne rozdiely pri výbere modulu zo zoznamu.
Balíky discord-selfbot-v14, discord-lofy, discordsystem a discord-vilao používali modifikovanú verziu legitímnej knižnice discord.js, ktorá poskytuje funkcie na interakciu s API Discord. Škodlivé komponenty boli integrované do jedného z súborov balíka a obsahovali približne 4000 riadkov kódu, zamotaného použitím skreslenia mien premenných, šifrovania reťazcov a porušenia formátovania kódu. Kód skenoval lokálny súborový systém na prítomnosť tokenov Discord a v prípade identifikácie ich odosielal na server server.
Balík fix-error bol uvedený ako opravujúci chyby v Discord selfbote, ale obsahoval trójskeho koňa PirateStealer, ktorý vykonáva krádež čísel kreditných kariet a účtov spojených s Discordom. Škodlivá zložka bola aktivovaná prostredníctvom substitúcie JavaScriptového kódu v klientovi Discord.
Balík prerequests-xcode obsahoval trójskeho koňa na organizovanie vzdialeného prístupu k systému používateľa, založeného na Python aplikácii DiscordRAT.
Predpokladá sa, že prístup k serverom Discord mohli zločinci potrebovať na rozmiestnenie bodov riadenia botnetu, ako proxy na načítanie informácií z hacknutých systémov, zamieňanie stôp pri vykonávaní útokov, šírenie škodlivého softvéru medzi používateľmi Discord alebo prepredaj prémiových účtov.
Balíky wafer-bind, wafer-autocomplete, wafer-beacon, wafer-caas, wafer-toggle, wafer-geolocation, wafer-image, wafer-form, wafer-lightbox, octavius-public a mrg-message-broker obsahovali kód na odoslanie obsahu premenných prostredia, ktoré napríklad mohli obsahovať prístupové kľúče, tokeny alebo heslá k systémom kontinuálnej integrácie alebo cloudovým prostrediam, ako je AWS.
Zdroj: opennet.ru
