Xakep #305. Многошаговые SQL-инъекции
Команда безопасности популярнейшего JavaScript-менеджера пакетов npm (Node Package Manager) удалила вредоносную JavaScript-библиотеку twilio-npm с сайта npm. Библиотека содержала вредоносный код, который открывал бэкдор на компьютеры пользователей.
Вредоносное поведение библиотеки обнаружили исследователи из компании Sonatype, которая изучает общедоступные репозитории пакетов в рамках своих DevSecOps-сервисов. Аналитики рассказывают, что библиотека была впервые опубликована на сайте в минувшую пятницу, но в тот же день ее заметили, а через два дня удалили с сайта и внесли в черный список. Увы, но за эти несколько дней малварь все же успели загрузить более 370 раз.
Вредоносный код, обнаруженный в фейковой Twilio, открывал реверс шелл (через TCP), на всех машинах, куда библиотека была загружена и импортирована в проекты JavaScript/npm/Node.js. Затем этот реверс шелл открывал соединение с адресом 4.tcp.ngrok[.]io:11425 и ожидал получения новых команд, которые нужно выполнить на компьютерах пострадавших. Причем исследователи подчеркивают, что реверс шелл работал только для ОС на базе UNIX.
«Любой компьютер, на котором был установлен или запущен этот пакет, следует считать полностью скомпрометированным. Все секреты и ключи, хранящиеся на этом компьютере, должны быть немедленно обновлены с другого компьютера», — предупреждают специалисты npm, полностью подтверждая информацию Sonatype.
Нужно отметить, что это далеко не первое удаление вредоносного пакета с сайта npm за последние месяцы. Так, в сентябре 2020 года был обнаружен пакет, воровавший файлы из Discord и браузеров, а в октябре 2020 года все те же специалисты компании Sonatype выявили сразу четыре пакета, которые собирали и отправляли своим создателям такие данные о пользовательских машинах, как IP-адреса, имя пользователя компьютера, путь к домашнему каталогу, модель процессора, а также информацию о стране и городе.
