آنها دوباره NPM را با بسته های جعلی پر کردند

اطلاعاتی در مورد الف منتشر شد مشکلی که در NPM و آن هکر استs مخزن را پر کرده است بسته های منبع باز npm برای Node.js با بسته های تقلبی که حتی برای مدت کوتاهی باعث حمله انکار سرویس (DoS) شد.

اگرچه اخیرا کمپین های مشابهی دیده شده است با گسترش پیوندهای فیشینگ، آخرین موج تعداد نسخه های بسته را به 1,42 میلیون نسخه رسانده است که افزایش چشمگیری از حدود 800,000 بسته منتشر شده در npm است.

و آن هکرها وب سایت های مخرب ایجاد می کنند و بسته های خالی ارسال می کنند حاوی لینک‌هایی به این وب‌سایت‌های مخرب، بهره‌گیری از شهرت خوب اکوسیستم‌های منبع باز در موتورهای جستجو، به‌علاوه حملات باعث انکار سرویس (DoS) شد که NPM را با خطاهای پراکنده «سرویس در دسترس نیست» ناپایدار کرد.»

ما طی سال گذشته شاهد کمپین‌های هرزنامه در اکوسیستم‌های منبع باز بوده‌ایم، اما این ماه بدترین ماه بود که دیده‌ایم.

ظاهراً مهاجمان اکوسیستم‌های منبع باز تأیید نشده را هدف آسانی برای انجام مسمومیت SEO برای کمپین‌های مخرب مختلف یافته‌اند. تا زمانی که نام برده نشود، می توانند تعداد نامحدودی بسته ارسال کنند.

معمولا تعداد نسخه های بسته منتشر شده برای NPM حدود 800*000 است. البته در ماه قبل این رقم به دلیل حجم بالای کمپین های اسپم از 1,4 میلیون گذشت.

تکنیک حمله از مزیت استفاده می کند این واقعیت که مخازن منبع باز در نتایج موتورهای جستجو رتبه بالاتری دارند برای ایجاد وب سایت های مخرب و دانلود ماژول های خالی npm با پیوندهای این سایت ها در فایل های README.md.

در این روش حمله، مجرمان سایبری وب سایت های مخرب ایجاد می کنند و بسته های خالی با لینک هایی به این وب سایت های مخرب ارسال می کنند. از آنجایی که اکوسیستم های متن باز از شهرت بالایی در موتورهای جستجو برخوردار هستند، همه بسته های متن باز جدید و توضیحات آنها این شهرت خوب را به ارث می برند و به خوبی در موتورهای جستجو نمایه می شوند و برای غیر کاربران بیشتر قابل مشاهده هستند.

از آنجایی که کل فرآیند به صورت خودکار انجام می شود، بار ایجاد شده با انتشار بسیاری از بسته ها باعث شد NPM به طور متناوب مشکلات پایداری را در پایان مارس 2023 تجربه کند. به این ترتیب، گفته می شود که هدف این کمپین آلوده کردن قربانی به یک exe. مخرب است. فایل.

در میان تکنیک های مختلف مورد استفاده، به طور خاص ذکر شده است یک "طعمه" استفاده می شود وکه در اصل است بسته ای با "توضیحات وسوسه انگیز warez" به کاربر، این احتمال را افزایش می دهد که قربانیان آن صفحات npm را جستجو کرده و در آنها فرود بیایند.

از آن به بعد، همان کاربر کسی است که تمام کارهای لازم را برای آلوده شدن انجام می دهد. زیرا وقتی روی پیوند کوتاه کلیک می کنید، یک وب سایت سفارشی وجود دارد که به نظر قانونی می رسد، اما در زیرساخت هکر میزبانی می شود و دانلود نرم افزار warez را ارائه می دهد.

این یک فایل فشرده رمزگذاری شده با رمز عبور را دانلود می کند که پس از استخراج، اندازه فایل exe. ~600 مگابایتی ایجاد می کند. این تکنیک برای جلوگیری از شناسایی توسط EDR ها استفاده می شود.

یکی دیگر از تکنیک های مورد استفاده که ذکر شده یکی است که شامل بارگذاری جانبی DLL، اجتناب از مجازی‌سازی/سندباکس، ابزارها و فایروال‌ها را غیرفعال کنید، ابزارهایی مانند Glupteba، RedLine، Smoke Loader، xmrig و موارد دیگر را برای سرقت اعتبار و استخراج ارز دیجیتال رها کنید.

علاوه بر این ، همچنین ذکر شده است که مهاجمان به وب سایت های خرده فروشی مانند AliExpress پیوند داده شده است با استفاده از شناسه های ارجاع ایجاد شده توسط آنها، و در نتیجه از پاداش های ارجاع بهره مند شدند.

مقیاس این کمپین قابل توجه بود، زیرا بار باعث ناپایدار شدن NPM با خطاهای پراکنده "سرویس در دسترس نیست".

همینطور، NPM باید در این مورد اقدام کند و به این نوع مشکلات که دائماً در مخزن ایجاد می شوند پایان دهید زیرا اساساً به یک "هدف" برای هکرها تبدیل شده است.