Из npm удалено еще 25 вредоносных пакетов

Рекомендуем почитать:

Xakep #299. Sysmon

• Содержание выпуска
• Подписка на «Хакер»-60%

ИБ-компания JFrog сообщила, что обнаружила и помогла удалить из официального репозитория npm 25 вредоносных JavaScript-библиотек (см. список в конце).

В основном авторы вредоносных библиотек имитировали имена более популярных пакетов, маскируясь под них и надеясь, что разработчики случайно включат их в свои проекты, если опечатаются в названиях или не обратят внимания на происхождение пакета.

Библиотеки содержали различные типы вредоносного кода, то есть, похоже, были созданы разными хакерами, преследующими разные цели. Так, 17 из 25 пакетов предназначались для кражи токенов доступа Discord. Хотя на первый взгляд кажется, что это весьма странная цель, токены Discord — весьма ценный ресурс, работающий аналогично файлам cookie в браузерах, то есть позволяющий злоумышленникам получать доступ к чужим учетным записям без ввода пароля. В итоге токены часто продаются и приобретаются спамерами, которые используют их для получения доступа к учетным записям пользователей, а затем наводняют каналы Discord рекламой и вредоносными ссылками.

Еще 5 библиотек содержали код, который похищал переменные окружения из зараженных проектов. Эти переменные обычно содержат информацию об ОС, но в некоторых случаях также могут содержать ключи API и учетные данные для входа в облачные сервисы (то есть данные, которые любят собирать многие злоумышленники).

Самыми опасными были еще 3 пакета, которые позволяли хакерам запускать собственные команды в пользовательских системах с помощью кода на Python или шелл-команд.

Интересно, что исследователи называют авторов этих пакетов «новичками», поскольку те лишь копировали настоящие пакеты и внедряли в них вредоносную функциональность. Такая тактика требует минимальных усилий, и если бы пакеты не были обнаружены, атаки могли иметь высокую эффективность. Из-за этого эксперты полагают, что аналогичные вредоносные библиотеки могут наводнить npm в будущем.

Напомню, что в декабре прошлого года специалисты JFrog уже обнаруживали 17 похожих вредоносных библиотек, и с сожалением отмечали, что «публичные репозитории стали удобным инструментом для распространения вредоносных программ».