11,1 тыс подписчиков

Обнаружена мощная вредоносная кампания в экосистеме npm

23 мая23 мая

2 мин

Оглавление

Обнаружена группа вредоносных npm-пакетов, угрожающих экосистемам React, Vue.js, Vite и Node.js
Маскировка под легальные плагины и методы атак
Особенности и причины опасности основных вредоносных пакетов

Обнаружена группа вредоносных npm-пакетов, угрожающих экосистемам React, Vue.js, Vite и Node.js

Эксперты в области кибербезопасности выявили серию вредоносных пакетов в реестре npm, которые в течение более двух лет оставались незамеченными, распространяясь среди популярных JavaScript-фреймворков. Эта кампания затрагивает такие технологии, как React, Vue.js, Vite, Node.js и редактор Quill. Общее количество загрузок вредоносных модулей превысило 6200, создавая серьёзную угрозу для разработчиков и конечных пользователей.

Маскировка под легальные плагины и методы атак

Вредоносные пакеты, опубликованные хакером с псевдонимом xuxingfeng, замаскированы под легитимные плагины — автор даже создал параллельно несколько законных пакетов, чтобы повысить уровень доверия к вредоносному софту. Основные приемы атаки включают:

Поиск опечаток (typosquatting) и имитацию имен известных пакетов;
Использование пакета rimraf, позволяющего выполнить команду наподобие rm -rf с целью удаления файлов и каталогов;
Рандомизированные интервалы выполнения вредоносного кода для затруднения обнаружения и анализа;
Изменения ключевых методов JavaScript, таких как методы объектов Array и String, что ведёт к непредсказуемому поведению приложений.

Особенности и причины опасности основных вредоносных пакетов

Некоторые из наиболее опасных пакетов выделяются уникальными векторами атак и стратегиями:

vite-plugin-react-extend — запускает рекурсивную атаку с удалением критически важных библиотек и данных, что происходит на протяжении шести недель с использованием рандомизированных таймингов;
js-hood — значительно изменяет основные методы Array и String в JavaScript, вызывая нестабильную работу приложений, при этом внешне сохраняя видимость нормального функционирования;
js-бомба — ориентирован на Vue.js и осуществляет многоэтапную атаку, приводящую к полному отключению системы.

Реакция и оценка угрозы

Сканер искусственного интеллекта Socket отнёс выявленные модули к категории «Известных вредоносных программ» и «Возможных атак с использованием опечаток», подчёркивая серьезность угрозы. Кампания демонстрирует высокий уровень координации и продуманности, целью которой является нанесение ущерба различным сегментам экосистемы JavaScript.

Исследователи подчёркивают, что постоянное присутствие таких пакетов требует от сообщества разработчиков:

повышения бдительности при использовании сторонних библиотек;
регулярного мониторинга обновлений безопасности и проверок зависимостей;
принятия упреждающих мер по защите своих проектов от подобных угроз.

Данная ситуация служит наглядным примером, насколько важно уделять особое внимание безопасности в процессе разработки современных веб-приложений и контролю используемых библиотек.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Оригинал публикации на сайте CISOCLUB: "Обнаружена мощная вредоносная кампания в экосистеме npm".