Üç popüler NPM paketi, @RSPack/Core, @Rspack/CLI ve Vant, çalıntı NPM hesap belirteçleri aracılığıyla tehlikeye atıldı ve tehdit aktörlerinin kriptominer yüklü kötü amaçlı sürümler yayınlamasına izin verdi.
Hem sonatpe hem de soket araştırmacıları tarafından tespit edilen tedarik zinciri saldırısı, XMRIG kripto para madencisini, izlemesi zor Monero gizlilik kripto para birimini madencilik için tehlikeye attı.
Buna ek olarak, Sonatype üç NPM paketinin hepsinin aynı gün aynı uzlaşmaya kurban düştüğünü ve birden fazla sürümü etkilediğini keşfetti.
Rspack, Javascript projelerinin bina ve bir araya gelmesinde kullanılan pasla yazılmış yüksek performanslı bir JavaScript Bundler'dır.
Meydan okulu iki paket, NPM'de haftada sırasıyla 394.000 ve 145.000 kez indirilen temel bileşeni ve komut satırı arayüzü (CLI) aracıdır.
Vant, önceden tasarlanmış, yeniden kullanılabilir kullanıcı arayüzü bileşenleri sağlayan mobil web uygulamaları oluşturmak için uyarlanmış hafif, özelleştirilebilir bir VUE.js UI kütüphanesidir. Ayrıca NPM'de haftalık 46.000 indirme alan nispeten popülerdir.
Kötü amaçlı kod, @rspack/core'daki 'support.js' dosyası ve ' @rspack/cli' deki 'config.js' dosyasında gizlenir ve yapılandırmasını ve komut ve kontrol (C2) talimatlarını getirir harici bir sunucudan.
Kötü amaçlı yazılım, paket kurulumu üzerine otomatik olarak yürütmek için NPM'nin söndürme sonrası komut dosyasını kullanır.
Çalıştığında, kurbanın sisteminin coğrafi konumunu ve ağ ayrıntılarını alır.
Socket, "Bu çağrı, http://ipinfo.io/json adresindeki coğrafi konum API'sına erişerek Potansiyel olarak IP adresleri, coğrafi konum ve kurbanın sistemi hakkında diğer ağ ayrıntılarını toplar."
"Bu tür keşif genellikle kullanıcının konumuna veya ağ profiline göre saldırıları uyarlamak için kullanılır."
Xmrig ikili bir GitHub deposundan indirilir ve tehlikeye atılan Vant paketi için, amacını gizlemek ve dosya sistemine karışmak için '/tmp/vant_helper' olarak yeniden adlandırılır.
Kriptominasyon etkinliği, CPU kullanımını mevcut işlemci iş parçacıklarının% 75'iyle sınırlayan yürütme parametrelerini kullanır ve bu da kriptominasyon performansı ve kaçırma arasında iyi bir denge kurar.
Sonatype'in Ax Sharma, uzlaşmış RSPack paketlerinde aşağıdaki Monero adresinin bulunduğunu söylüyor:
Hem Rspack hem de Vant, NPM hesaplarının tehlikeye atıldığını, paketlerinin yeni, temizlenmiş sürümlerini serbest bıraktığını ve tedarik zincirini koruyamadığı için topluluğa özür dilediğini doğruladı.
"12/19/2024, 02:01 (UTC) 'de, NPM paketlerimizin@rspack/core ve@rspack/cli'nin kötü niyetli bir şekilde saldırıya uğradığını keşfettik. Saldırgan, kötü niyetli kod içeren tehlikeye atılan bir NPM jetonu kullanarak v1.1.7'yi serbest bıraktı. Sorunu keşfettikten sonra hemen harekete geçtik, "diye açıkladı Rspack geliştiricileri.
"Bu sürüm bir güvenlik sorunu çözmektir. Ekip üyelerimizin NPM jetonundan birinin çalındığını ve güvenlik açıklarıyla birden fazla sürüm yayınlamak için kullanıldığını bulduk. Düzeltmek için önlemler aldık ve yayınladık. Vant geliştirici.
Kötü niyetli kripto madenciliği kodunu içeren 1.1.7'den kaçınmak için tehlikeye atılan RSPack sürümü.
Kullanıcıların v1.1.8 veya üstüne yükseltilmeleri önerilir. Kötü niyetli olan V1.1.6'dan önceki sürüm de güvenlidir, ancak en sonuncusu ek güvenlik önlemleri uygulamıştır.
Vant ile ilgili olarak, birden fazla tehlikeye atılmış versiyonlardan kaçınılmalıdır. Bunlar: 2.13.3, 2.13.4, 2.13.5, 3.6.13, 3.6.14, 3.6.15, 4.9.11, 4.9.12, 4.9.13 ve 4.9.14.
Kullanıcıların, yazılımın en son sürümünün güvenli bir şekilde yeniden yayınlanması olan Vant V4.9.15 ve daha yeni bir şekilde yükseltmeleri önerilir.
Bu olay, insanların kripto para birimi varlıklarını hedefleyen Lottiefiles ve kullanıcıların kriptominasyon için donanım kaynaklarını kaçıran ultralitik diğer tedarik zinciri uzlaşmalarını takip ediyor.
Lottiefiles, kullanıcıların kriptolarını çalmak için tedarik zinciri saldırısına hacklendi
Kötü niyetli Microsoft VSCode Uzantıları hedefleri hedef, kripto topluluğu
Ultralitik AI Modeli, Binlerce'yi Cryptominer ile enfekte etmek için kaçırıldı
Solan Web3.js Kütüphane Gizli, Özel Anahtarları Çalmak İçin Backdoeded
Çerçeve Araştırmacı için kötü niyetli taahhütlerle hedeflenen GitHub projeleri
Kaynak: Bleeping Computer