Fyra paket har identifierats i NPM-förvaret som överför användardata

I NPM-förrådet upptäcktes upptäcktes skadlig aktivitet i fyra paket som inkluderade ett preinstall-skript som innan installationen av paketet skickade en kommentar till GitHub med information om användarens IP-adress, plats, inloggning, CPU-modell och hemkatalog. Den skadliga koden hittades i paketen electorn (255 nedladdningar), lodashs (78 nedladdningar), loadyaml (48 nedladdningar) och loadyml (37 nedladdningar).

De problematiska paketen var publicerade i NPM mellan 17 och 24 augusti för distribution med typskvotering, dvs. med namn som liknade andra populära bibliotek i syfte att användaren skulle göra ett skrivfel när de angav namnet eller inte skulle märka skillnaderna när de valde en modul från listan. Enligt antalet nedladdningar blev ungefär 400 användare offer för detta trick, varav de flesta förvirrade electorn med electron. För närvarande har paketen electorn och loadyaml redan har tagits bort tagits bort av NPM-administrationen, medan paketen lodashs och loadyml har tagits bort av författaren.

Anledningarna till angriparnas beteende är okända, men det föreslås att informationen läckte via GitHub (kommentaren skickades genom Issue och raderades inom ett dygn) kan ha genomförts som en del av ett experiment för att bedöma metodens effektivitet, eller att en flerstegsattack var planerad, där den första etappen samlade in data om offren, och den andra, som inte blev verklighet på grund av blockering, skulle ha inneburit en uppdatering som inkluderade mer farlig skadlig kod eller en bakdörr i den nya versionen.

Källa: opennet.ru