Издание ZDNet сообщает, что команда безопасности популярнейшего JavaScript-менеджера пакетов npm (Node Package Manager) обнаружила вредоносный пакет fallguys, якобы предназначенный для работы с API игры Fall Guys: Ultimate Knockout.

Когда разработчики загружали эту библиотеку и интегрировали ее в свои проекты, а затем запускал свой код, вредоносный пакет запускался вместе с ним. Малварь пыталась получить доступ к пяти локальным файлам, прочитать их содержимое, а затем «слить» эти данные в специальный Discord-канал. Так, злоумышленников интересовали:

  • /AppData/Local/Google/Chrome/User\x20Data/Default/Local\x20Storage/leveldb;
  • /AppData/Roaming/Opera\x20Software/Opera\x20Stable/Local\x20Storage/leveldb;
  • /AppData/Local/Yandex/YandexBrowser/User\x20Data/Default/Local\x20Storage/leveldb;
  • /AppData/Local/BraveSoftware/Brave-Browser/User\x20Data/Default/Local\x20Storage/leveldb;
  • /AppData/Roaming/discord/Local\x20Storage/leveldb.

Первые четыре файла представляют собой базы данных LevelDB, характерные для таких браузеров, как Chrome, Opera, Яндекс.Браузер и Brave. Как правило, эти файлы хранят информацию, связанную браузинговой историей пользователя. Последний файл — это тоже база данных LevelDB, однако связанная с Windows-клиентом Discord. Она содержит информацию о каналах, участником которых является пользователь, а также другие данные, связанные с каналами.

При этом вредоносный пакет не похищал никаких других конфиденциальных данных, к примеру, cookie сеансов или БД браузера, где хранились учетные данные. Эксперты полагают, что авторы вредоноса лишь проводили разведку, собирая данные о жертвах и пытаясь оценить, к каким сайтам чаще всего обращаются зараженные разработчики. Вероятно, в будущем хакеры планировали обновить пакет и расширить его вредоносную функциональность.

Вредоносный пакет fallguys был доступен для загрузки на протяжении двух недель, и за это время его скачали около 300 раз. Теперь команда безопасности npm рекомендует разработчикам удалить пакет как можно быстрее.

Оставить мнение