НПМ је идентификовао 15 хиљада пхисхинг и спам пакета

Забележен је напад на кориснике НПМ директоријума, услед чега је 20. фебруара у НПМ репозиторијум постављено више од 15 хиљада пакета, чији су РЕАДМЕ фајлови садржали линкове ка пхисхинг сајтовима или линкове за препоруке за кликове на које ауторске накнаде су плаћени. Током анализе, идентификовано је 190 јединствених пхисхинг или рекламних веза у пакетима, који покривају 31 домен.

Називи пакета су изабрани да привуку интересовање обичних људи, на пример, „фрее-тикток-фолловерс“, „фрее-кбок-цодес“, „инстаграм-фолловерс-фрее“ итд. Калкулација је направљена да се листа недавних ажурирања на главној страници НПМ-а попуни спам пакетима. Описи пакета укључивали су линкове који су обећавали бесплатне поклоне, поклоне, варање игара, као и бесплатне услуге за повећање броја пратилаца и лајкова на друштвеним мрежама као што су ТикТок и Инстаграм. Ово није први такав напад, у децембру је забележено објављивање 144 хиљаде спам пакета у директоријумима НуГет, НПМ и ПиПи.

Садржај пакета је аутоматски генерисан коришћењем питхон скрипте која је очигледно ненамерно остављена у пакетима и укључује радне акредитиве коришћене у нападу. Пакети су објављени под много различитих налога користећи методе које су отежавале расплет трагова и брзо идентификовање проблематичних пакета.

Поред лажних активности, откривено је и неколико покушаја објављивања злонамерних пакета у НПМ и ПиПи репозиторијумима:

• 451 злонамерни пакет је пронађен у ПиПИ спремишту, који су се маскирали у неке популарне библиотеке користећи типекуаттинг (додељивање сличних имена која се разликују по појединачним знаковима, на пример, впер уместо випер, битцоиннлиб уместо битцоинлиб, ццриптофеед уместо цриптофеед, ццктт уместо ццкт, цриптоцоммпаре уместо цриптоцомпаре, селеиум уместо селениум, пинсталлер уместо пиинсталлер, итд.). Пакети су укључивали замагљени код за крађу криптовалуте, који је открио присуство идентификатора крипто новчаника у клипборду и променио их у новчаник нападача (претпоставља се да приликом плаћања жртва неће приметити да је број новчаника пренет кроз клипборд је другачији). Замену је извршио додатак за прегледач који је извршен у контексту сваке прегледане веб странице.
• У ПиПИ спремишту је идентификован низ злонамерних ХТТП библиотека. Злонамерна активност је пронађена у 41 пакету, чији су називи одабрани методом куцања и подсећају на популарне библиотеке (аио5, рекуестст, улрлиб, уллб, либхттпс, пипхттпс, хттпкв2, итд.). Надев је стилизован тако да личи на активне ХТТП библиотеке или је копирао код постојећих библиотека, а опис је укључивао тврдње о предностима и поређења са легитимним ХТТП библиотекама. Злонамерна активност се састојала или од преузимања малвера на систем или од прикупљања и слања осетљивих података.
• НПМ је идентификовао 16 ЈаваСцрипт пакета (спеедте*, трова*, лагра), који су поред наведене функционалности (тестирање пропусности) садржали и код за рударење криптовалуте без знања корисника.
• НПМ је идентификовао 691 злонамерни пакет. Већина проблематичних пакета се претварала да су Иандек пројекти (иандек-логгер-сентри, иандек-логгер-клоуд, иандек-сендсмс, итд.) и укључивали су код за слање поверљивих информација на спољне сервере. Претпоставља се да су они који су постављали пакете покушавали да постигну замену сопствене зависности приликом склапања пројеката у Иандек-у (метод замене интерних зависности). У ПиПИ репозиторијуму, исти истраживачи су пронашли 49 пакета (рексистем, хттпкфастер, аио6, горилла2, хттпсос, похттп, итд.) са прикривеним злонамерним кодом који преузима и покреће извршну датотеку са спољног сервера.

Извор: опеннет.ру