چندین بستهی مخرب در مخزن NPM شناسایی شده‌اند که پس از نصب، اقدام به جمع‌آوری اطلاعات حساس از میزبان و شبکه می‌کنند. بر اساس گزارش شرکت Socket، این 60 بسته مخرب از تاریخ 12 مه توسط سه حساب کاربری مختلف در مخزن NPM منتشر شده‌اند.
هر یک از این بسته‌ها دارای یک اسکریپت post-install هستند که به‌طور خودکار هنگام اجرای دستور npm install فعال می‌شود و اطلاعاتی مانند مشخصات سیستم میزبان و داده‌های شبکه را جمع‌آوری کرده و به یک وب‌هوک Discord که تحت کنترل مهاجم قرار دارد ارسال می‌کند.
موارد زیر توسط اسکریپت مخرب جمع‌آوری می‌شوند:
- نام میزبان (Hostname)
- آدرس IP داخلی
- مسیر پوشه خانگی کاربر (User home directory)
- مسیر کاری فعلی (Current working directory)
- نام کاربری (Username)
- سرورهای DNS سیستم
همچنین این اسکریپت با بررسی نام میزبان‌های مربوط به ارائه‌دهندگان خدمات ابری و رشته‌های DNS معکوس، تلاش می‌کند تشخیص دهد که آیا در یک محیط تحلیل مانند سندباکس اجرا می‌شود یا خیر.
Socket اشاره کرده که در این حملات، هیچ‌گونه پیلود مخرب، افزایش سطح دسترسی یا مکانیزم ماندگاری مشاهده نشده است. با این حال، با توجه به نوع داده‌هایی که جمع‌آوری می‌شود، خطر حملات هدفمند به شبکه بسیار جدی و قابل توجه است.
عوامل تهدید برای فریب توسعه‌دهندگان، از نام‌هایی استفاده کرده‌اند که بسیار شبیه به بسته‌های معتبر و شناخته‌شده در مخزن NPM هستند؛ از جمله: flipper-plugins ،react-xterm2 و hermes-inspector-msggen. همچنین از نام‌هایی استفاده شده که مرتبط با ابزارهای تست هستند تا به‌طور خاص زیرساخت‌های CI/CD را هدف قرار دهند.
فهرست کامل 60 بستهی مخرب:
- e-learning-garena
- inhouse-root
- event-sharing-demo
- hermes-inspector-msggen
- template-vite
- flipper-plugins
- appium-rn-id
- bkwebportal
- gop_status_frontend
- index_patterns_test_plugin
- seatable
- zdauth
- mix-hub-web
- chromastore
- performance-appraisal
- choosetreasure
- rapper-wish
- 12octsportsday
- credit-risk
- raffle-node
- coral-web-be
- garena-react-template-redux
- sellyourvault
- admin-id
- seacloud-database
- react-xterm2
- bkeat-pytest
- mysteryicons
- mshop2
- xlog-admin-portal
- datamart
- garena-admin
- estatement-fe
- kyutai-client
- tgi-fe
- gacha-box
- tenslots
- refreshrewards
- codeword
- sps
- seatalk-rn-leave-calendar
- netvis
- input_control_vis
- env-platform
- web-ssar
- hideoutpd
- arcademinigame
- customer-center
- team-portal
- dof-ff
- seamless-sppmy
- accumulate-win
- sfc-demo
- osd_tp_custom_visualizations
- routing-config
- gunbazaar
- mbm-dgacha
- wsticket
- all-star-2019
- data-portal-dwh-apps-fe
اگر هر یک از این بسته‌ها را نصب کرده‌اید، توصیه می‌شود فوراً آن‌ها را حذف کرده و یک اسکن کامل از سیستم انجام دهید تا هرگونه باقی‌مانده از آلودگی شناسایی و پاک‌سازی شود.
کمپین مخرب دیگری که توسط شرکت Socket شناسایی شد، شامل هشت بستهی مخرب در مخزن NPM بود که با استفاده از تایپواسکواتینگ (typosquatting) خود را مشابه ابزارهای معتبر جلوه می‌دادند، اما در واقع می‌توانستند فایل‌ها را حذف کنند، داده‌ها را خراب کنند و سیستم‌ها را از کار بیندازند.
این بسته‌ها که اکوسیستم‌های React ،Vue.js ،Vite ،Node.js و Quill را هدف قرار داده بودند، طی دو سال گذشته در NPM وجود داشتند و در مجموع حدود 6200 بار دانلود شده‌اند.
دلیل اینکه این بسته‌ها توانسته‌اند مدت طولانی بدون شناسایی باقی بمانند، تا حدی به این خاطر است که پیلود مخرب آن‌ها بر اساس تاریخ‌های مشخص‌شده در کد فعال می‌شده و به‌صورت تدریجی اقدام به تخریب فایل‌های فریم‌ورک‌ها، خراب‌کردن متدهای اصلی جاوااسکریپت و ایجاد اختلال در سازوکار ذخیره‌سازی مرورگر می‌کرده‌اند.
توصیه‌های امنیتی
- توصیه می‌شود فوراً بسته‌ها را حذف کرده و یک اسکن کامل از سیستم انجام شود تا هرگونه باقی‌مانده از آلودگی شناسایی و پاک‌سازی شود.
منابع خبر:
[1]https://www.bleepingcomputer.com/news/security/dozens-of-malicious-packages-on-npm-collect-host-and…
[2]https://socket.dev/blog/60-malicious-npm-packages-leak-network-and-host-data
- 2