{"id":139659,"date":"2025-07-21T11:12:05","date_gmt":"2025-07-21T09:12:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami"},"modified":"2025-07-21T11:12:05","modified_gmt":"2025-07-21T09:12:05","slug":"fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","title":{"rendered":"Fiskeangrepp har lett till kontroll \u00f6ver flera popul\u00e4ra NPM-paket.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
En phishingattack har registrerats mot JavaScript-bibliotek, d\u00e4r ett meddelande som p\u00e5stod sig komma fr\u00e5n NPM skickades ut och uppmanade anv\u00e4ndare att bekr\u00e4fta sin e-postadress. Den genomf\u00f6rda attacken gjorde det m\u00f6jligt f\u00f6r cyberkriminella att f\u00e5 tillg\u00e5ng till NPM-token f\u00f6r en av de st\u00f6rre JavaScript-projekten och sl\u00e4ppa uppdateringar med skadlig kod f\u00f6r fem NPM-paket, som sammanlagt st\u00e5r f\u00f6r cirka 100 miljoner nedladdningar i veckan. <\/p>\n
Det meddelande som skickades av f\u00f6ljaren var utformat som typiska meddelanden fr\u00e5n NPM, som skickas fr\u00e5n adressen \"support@npmjs.org\", men l\u00e4nken som angavs var dom\u00e4nen \"npnjs.com\" ist\u00e4llet f\u00f6r \"npmjs.com\" (den tredje bokstaven \"n\" ist\u00e4llet f\u00f6r \"m\"). Angriparna utnyttjade den psykologiska effekten d\u00e4r hj\u00e4rnan, i f\u00f6rv\u00e4ntan p\u00e5 ett f\u00f6rv\u00e4ntat resultat, inte m\u00e4rker sm\u00e5 avvikelser, som att bokst\u00e4ver byts ut mot liknande eller att bokst\u00e4vernas ordning \u00e4ndras i ordet. Genom att klicka p\u00e5 l\u00e4nken \u00f6ppnades en fullst\u00e4ndig kopia av webbplatsen npmjs.com (sannolikt var en proxy inst\u00e4lld f\u00f6r att f\u00e5nga \u00e5tkomsttoken).
<\/center> <\/p>\n
Under attacken skapades nya versioner av paketen: <\/p>\n
I de skapade utg\u00e5vorna lades skadlig kod till f\u00f6r att attackera anv\u00e4ndare som anv\u00e4nder Windows-plattformen. De gjorda \u00e4ndringarna laddade ner biblioteket node-gyp.dll, som inneh\u00e5ller funktionalitet f\u00f6r fj\u00e4rrexekvering av kommandon p\u00e5 systemet. <\/p>\n
Den medf\u00f6ljande m\u00e4rkte att han blivit ett offer f\u00f6r phishing ungef\u00e4r en timme efter att den f\u00f6rsta klagom\u00e5let om publiceringen av misst\u00e4nkta utg\u00e5vor kommit in. Han \u00e5terkallade genast access-token, \u00e4ndrade l\u00f6senord och markerade problemversionerna som f\u00f6r\u00e5ldrade f\u00f6r att f\u00f6rhindra nedladdning av automatiserade byggsystem och skickade en beg\u00e4ran om att ta bort problemversionerna fr\u00e5n arkivet till NPM:s support. <\/p>\n
Det anges inte hur m\u00e5nga anv\u00e4ndare som har laddat ner de skadliga versionerna (till exempel stannade den skadliga versionen av paketet eslint-plugin-prettier i f\u00f6rr\u00e5det i cirka tv\u00e5 dagar). Under f\u00f6reg\u00e5ende vecka hade paketet eslint-config-prettier 30 miljoner nedladdningar och anv\u00e4ndes som ett beroende i 11 762 paket, paketet eslint-plugin-prettier hade 21 miljoner nedladdningar (8 468 beroendepaket), synckit hade 18 miljoner, @pkgr\/core hade 16 miljoner och napi-postinstall hade 10 miljoner. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Fiskeangrepp](\"\/wp-content\/uploads\/2025\/07\/0d5e2613f7265b3fcca6ee367c0ecac9.png\")
<\/center> <\/p>\n