{"id":106945,"date":"2023-02-26T12:49:02","date_gmt":"2023-02-26T10:49:03","guid":{"rendered":"https:\/\/prohoster.info\/?p=106945"},"modified":"2023-02-27T12:02:06","modified_gmt":"2023-02-27T10:02:06","slug":"v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/v-npm-vyyavleno-15-tysyach-paketov-dlya-fishinga-i-spama","title":{"rendered":"NPM har identifierat 15 000 paket f\u00f6r phishing och spam","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
En attack mot anv\u00e4ndare av NPM-katalogen har registrerats, d\u00e4r mer \u00e4n 15 000 paket publicerades den 20 februari i NPM-repositoriet, med README-filer som inneh\u00f6ll l\u00e4nkar till phishing-webbplatser eller referral-l\u00e4nkar, som betalade provisioner f\u00f6r klick. Vid analys uppt\u00e4cktes 190 unika phishing- eller reklam-l\u00e4nkar som t\u00e4cker 31 dom\u00e4ner. <\/p>\n
Paketnamn valdes f\u00f6r att v\u00e4cka intresse hos allm\u00e4nheten, exempelvis «free-tiktok-followers» «free-xbox-codes», «instagram-followers-free» osv. Ber\u00e4kningen gjordes f\u00f6r att fylla listan \u00f6ver nyligen uppdaterade spammiga paket p\u00e5 NPM:s startsida. I beskrivningen av paketen angavs l\u00e4nkar som lovade gratis utdelningar, g\u00e5vor, spelkoder samt gratis tj\u00e4nster f\u00f6r att \u00f6ka f\u00f6ljare och likes i sociala medier som TikTok och Instagram. Detta \u00e4r inte f\u00f6rsta g\u00e5ngen en s\u00e5dan attack intr\u00e4ffar; i december registrerades publiceringen av 144 tusen spammiga paket i katalogerna NuGet, NPM och PyPi.
<\/center> <\/p>\n
Inneh\u00e5llet i paketen genererades automatiskt med en python-skript, som tydligen av misstag l\u00e4mnades kvar i paketen och inkluderade fungerande inloggningsuppgifter som anv\u00e4ndes under attacken. Paketen publicerades under flera olika konton med metoder som gjorde det sv\u00e5rare att sp\u00e5ra sp\u00e5ren och snabbt identifiera problematiska paket. <\/p>\n
F\u00f6rutom bedr\u00e4gliga aktiviteter i NPM och PyPi har flera f\u00f6rs\u00f6k till publicering av skadliga paket ocks\u00e5 identifierats: <\/p>\n
\n
I PyPI-f\u00f6rvaret har 451 skadliga paket uppt\u00e4ckts, som camouflerade sig som vissa popul\u00e4ra bibliotek genom typkvotering (skapa liknande namn som skiljer sig med enstaka tecken, till exempel, vper i st\u00e4llet f\u00f6r vyper, bitcoinnlib i st\u00e4llet f\u00f6r bitcoinlib, ccryptofeed i st\u00e4llet f\u00f6r cryptofeed, ccxtt i st\u00e4llet f\u00f6r ccxt, cryptocommpare i st\u00e4llet f\u00f6r cryptocompare, seleium i st\u00e4llet f\u00f6r selenium, pinstaller i st\u00e4llet f\u00f6r pyinstaller osv.). Paketen inneh\u00f6ll obfuskerad kod f\u00f6r att stj\u00e4la kryptovaluta, som identifierade kryptovaluta-ID:n i urklipp och bytte dem mot g\u00e4rningsmannens pl\u00e5nbok (det antas att offret inte skulle m\u00e4rka att det \u00f6verf\u00f6rda pl\u00e5nboksnumret skiljde sig vid ing\u00e5ende betalning). Bytet utf\u00f6rdes av en integrerad webbl\u00e4sartill\u00e4gg som k\u00f6rdes i varje webbsidas kontext.\n
I PyPI-f\u00f6rvaret har en serie skadliga HTTP-bibliotek uppt\u00e4ckts. Skadlig aktivitet har hittats i 41 paket, vars namn valdes med hj\u00e4lp av typkvotering och liknade popul\u00e4ra bibliotek (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2 osv.). Inneh\u00e5llet var stylat f\u00f6r att likna fungerande HTTP-bibliotek eller kopierade kod fr\u00e5n befintliga bibliotek, medan beskrivningarna inneh\u00f6ll p\u00e5st\u00e5enden om f\u00f6rdelar och j\u00e4mf\u00f6relser med legitima HTTP-bibliotek. Den skadliga aktiviteten ledde antingen till nedladdning av skadlig programvara till systemet eller till insamling och s\u00e4ndning av konfidentiell information.\n
I NPM har 16 JavaScript-paket (speedte*, trova*, lagra) uppt\u00e4ckts som f\u00f6rutom den angivna funktionaliteten (bandbreddstestning) \u00e4ven inneh\u00f6ll kod f\u00f6r kryptovaluta-mining utan anv\u00e4ndarens vetskap.\n
![\"NPM](\"\/wp-content\/uploads\/2023\/02\/434214f596ba6d4174a3f0a8eae982e4.jpg\")
<\/center> <\/p>\n