Fiskeangrepp har lett till kontroll över flera populära NPM-paket.

En phishingattack har registrerats mot JavaScript-bibliotek, där ett meddelande som påstod sig komma från NPM skickades ut och uppmanade användare att bekräfta sin e-postadress. Den genomförda attacken gjorde det möjligt för cyberkriminella att få tillgång till NPM-token för en av de större JavaScript-projekten och släppa uppdateringar med skadlig kod för fem NPM-paket, som sammanlagt står för cirka 100 miljoner nedladdningar i veckan.

Det skickade meddelandet var stylat för att likna standardaviseringar från NPM som skickas från adressen "support@npmjs.org", men länken ledde till domänen "npnjs.com" istället för "npmjs.com" (tredje bokstaven "n" istället för "m"). Angriparna utnyttjade en psykologisk effekt, där hjärnan, för att förutsäga det förväntade resultatet, missar mindre avvikelser, såsom att byta ut bokstäver mot liknande eller ändra ordningen på bokstäver i ordet. Genom att klicka på länken öppnades en fullständig kopia av npmjs.com (troligen var en proxy konfigurerad för att fånga access-token).

Under attacken skapades nya versioner av paketen:

• eslint-config-prettier: 8.10.1, 9.1.1, 10.1.6, 10.1.7.
• eslint-plugin-prettier: 4.2.2, 4.2.3.
• synckit: 0.11.9.
• @pkgr/core: 0.2.8.
• napi-postinstall: 0.3.1.

I de skapade utgåvorna lades skadlig kod till för att attackera användare som använder Windows-plattformen. De gjorda ändringarna laddade ner biblioteket node-gyp.dll, som innehåller funktionalitet för fjärrexekvering av kommandon på systemet.

Den medföljande märkte att han blivit ett offer för phishing ungefär en timme efter att den första klagomålet om publiceringen av misstänkta utgåvor kommit in. Han återkallade genast access-token, ändrade lösenord och markerade problemversionerna som föråldrade för att förhindra nedladdning av automatiserade byggsystem och skickade en begäran om att ta bort problemversionerna från arkivet till NPM:s support.

Det uppges inte hur många användare som lyckats ladda ner de skadliga versionerna (till exempel fanns den skadliga versionen av paketet eslint-plugin-prettier i arkivet i cirka två dagar). Under förra veckan hade paketet eslint-config-prettier 30 miljoner nedladdningar och användes som beroende av 11 762 paket, paketet eslint-plugin-prettier — 21 miljoner nedladdningar (8 468 beroendepaket), synckit — 18 miljoner, @pkgr/core — 16 miljoner och napi-postinstall — 10 miljoner.

Källa: opennet.ru