06/11/21
Неизвестные злоумышленники скомпрометировали аккаунты разработчиков двух популярных NPM-пакетов coa и rc и загрузили вредоносные версии, содержавшие вредоносное ПО для кражи паролей.
Пакет coa предоставляет функции для разбора аргументов командной строки и насчитывает примерно 8,8 млн млн загрузок в неделю. Скомпрометированные версии пакета включают : 2.0.3, 2.0.4, 2.1.1, 2.1.3, 3.0.1 и 3.1.3.
Пакет rc предназначен для загрузки и разбора файлов конфигурации и насчитывает более 14 млн еженедельных загрузок. Вредоносными являются следующие версии: 1.2.9, 1.3.9 и 2.3.9.
Оба пакета были скомпрометированы примерно в одно и то же время. Получив доступ к учетной записи разработчика, злоумышленники добавили постустановочный скрипт в оригинальную кодовую базу, запускающий обфусцированный TypeScript. Данный скрипт собирал информацию об операционной системе и, в зависимости от установленной ОС, запускал пакетный файл (Windows) или bash-скрипт (Linux).
При изучении деобфусцированной версии пакетного файла для Windows выяснилось, что скомпрометированные пакеты загружают и запускают DLL-библиотеку, содержащую банковский троян Qakbot. За последние несколько недель это уже четвертый известный случай компрометации популярных NPM-пакетов.
Все скомпрометированные версии пакетов coa и rc уже удалены из репозитория NPM.
