Tlhaselo e tlalehiloe ho basebelisi ba bukana ea NPM, ka lebaka leo ka la 20 Hlakubele, liphutheloana tse fetang likete tse 15 li ile tsa beoa sebakeng sa polokelo ea NPM, lifaele tsa README tse neng li e-na le likhokahano tsa libaka tsa phishing kapa lihokelo tsa phetisetso bakeng sa ho tobetsa moo ho nang le meputso. lia lefuoa. Nakong ea tlhahlobo, lihokelo tse ikhethang tsa phishing kapa lipapatso tsa 190 li ile tsa khetholloa ka har'a liphutheloana, tse koahelang libaka tse 31.
Mabitso a liphutheloana a khethiloe ho hohela thahasello ea batho ba tloaelehileng, mohlala, "free-tiktok-followers", "free-xbox-codes", "instagram-followers-free", joalo-joalo. Palo e entsoe ho tlatsa lenane la lintlafatso tsa morao-rao leqepheng la sehlooho la NPM ka liphutheloana tsa spam. Litlhaloso tsa liphutheloana li ne li kenyelletsa lihokelo tse ts'episang limpho tsa mahala, limpho, cheat ea lipapali, hammoho le lits'ebeletso tsa mahala bakeng sa balateli ba ntseng ba eketseha le lintho tseo ba li ratang liwebosaeteng tsa sechaba tse kang TikTok le Instagram. Ena ha se tlhaselo ea pele e joalo; ka December, phatlalatso ea liphutheloana tsa spam tse likete tse 144 li ile tsa tlalehoa libukeng tsa NuGet, NPM le PyPi.
Lintho tse ka har'a liphutheloana li ile tsa hlahisoa ka mokhoa o itekanetseng ho sebelisoa script ea python eo ho bonahalang eka e ne e siiloe ka mokhoa o sa tsebeng ka har'a liphutheloana 'me e kenyelletsa lintlha tsa mosebetsi tse sebelisitsoeng tlhaselong. Liphutheloana li ile tsa hatisoa tlas'a li-account tse ngata tse fapaneng ho sebelisoa mekhoa e entseng hore ho be thata ho manolla tsela le ho tseba ka potlako liphutheloana tse nang le mathata.
Ntle le mesebetsi ea bomenemene, liteko tse 'maloa tsa ho phatlalatsa liphutheloana tse mpe li ile tsa boela tsa fumanoa polokelong ea NPM le PyPi:
- 451 liphutheloana tse lonya li ile tsa fumanoa polokelong ea PyPI, e neng e ikhakantse e le lilaebrari tse ling tse tummeng tse sebelisang typequatting (ho fana ka mabitso a tšoanang a fapaneng ka litlhaku ka bomong, mohlala, vper sebakeng sa vyper, bitcoinnlib sebakeng sa bitcoinlib, ccryptofeed sebakeng sa cryptofeed, ccxtt sebakeng sa ccxt, cryptocommpare sebakeng sa cryptocompare, seleium sebakeng sa selenium, pinstaller sebakeng sa pyinstaller, joalo-joalo). Liphutheloana li kenyelelitse khoutu ea bosholu ea ho utsoa chelete ea crypto, e ileng ea lemoha boteng ba li-identifiers tsa sepache tsa crypto ka har'a clipboard 'me ea li fetola ho sepache sa mohlaseli (ho nahanoa hore ha a etsa tefo, motho ea hlokofalitsoeng a ke ke a hlokomela hore nomoro ea sepache e fetisitsoe ka lebokose la lipapali. e fapane). Phetoho e entsoe ke sebatli se kenyelletsoeng se ileng sa etsoa molemong oa leqephe le leng le le leng la webo le shebiloeng.
- Letoto la lilaebrari tse mpe tsa HTTP li se li khethiloe sebakeng sa polokelo ea PyPI. Ts'ebetso e mpe e fumanoe ka har'a liphutheloana tse 41, tseo mabitso a tsona a neng a khethiloe ho sebelisoa mekhoa ea typequatting 'me a tšoana le lilaebrari tse tsebahalang (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, joalo-joalo). The stuffing e ne e etselitsoe ho tšoana le lilaebrari tsa HTTP tse sebetsang kapa ho kopitsoa khoutu ea lilaebrari tse seng li ntse li le teng, 'me tlhaloso e kenyelelitse litletlebo mabapi le melemo le papiso le lilaebrari tse molaong tsa HTTP. Ts'ebetso e mpe e ne e le ho khoasolla malware ho sistimi kapa ho bokella le ho romella lintlha tsa bohlokoa.
- NPM e ile ea tsebahatsa liphutheloana tse 16 tsa JavaScript (speedte *, trova *, lagra), eo, ntle le ts'ebetso e boletsoeng (tlhahlobo ea tlhahlobo), e boetse e na le khoutu bakeng sa meepo ea cryptocurrency ntle le tsebo ea mosebelisi.
- NPM e khethile liphutheloana tse mpe tse 691. Boholo ba liphutheloana tse nang le mathata li ne li iketsa eka ke merero ea Yandex (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms, joalo-joalo) 'me e kenyelelitse khoutu ea ho romela boitsebiso ba lekunutu ho li-server tse ka ntle. Ho nahanoa hore ba kentseng liphutheloana ba ne ba leka ho fumana sebaka sa ho itšetleha ha bona ha ba bokella merero ho Yandex (mokhoa oa ho kenya sebaka sa ho itšetleha ka hare). Sebakeng sa polokelo ea PyPI, bafuputsi ba tšoanang ba ile ba fumana liphutheloana tse 49 (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, joalo-joalo) tse nang le khoutu e mpe ea obfuscated e khoasollang le ho tsamaisa faele e sebetsang ho tsoa ho seva sa kantle.
Source: opennet.ru