ده بسته npm دیروز به طور ناگهانی با کد مخرب به‌روزرسانی شدند تا متغیرهای محیطی (environment variables) و سایر داده‌های حساس را از سیستم‌های توسعه‌دهندگان سرقت کنند. این حمله چندین بسته مرتبط با ارزهای دیجیتال و بسته محبوب ‘country-currency-map’ را هدف قرار داد که هفته‌ای هزاران بار دانلود می‌شود. کد مخرب توسط محقق Sonatype به نام علی الشکنکیری کشف شد و در دو اسکریپت بسیار مبهم “/scripts/launch.js” و “/scripts/diagnostic-report.js” قرار دارد که هنگام نصب بسته اجرا می‌شوند.
Sonatype گزارش می‌دهد که کد جاوااسکریپت مخرب متغیرهای محیطی دستگاه را سرقت کرده و به میزبان راه دور “eoi2ectd5a5tn1h.m.pipedream(.)net)” ارسال می‌کند. متغیرهای محیطی معمولاً هدف حملات قرار می‌گیرند زیرا می‌توانند حاوی کلیدهای API، اعتبارنامه‌های پایگاه داده، اعتبارنامه‌های ابری و کلیدهای رمزنگاری باشند. تحلیلگران فرضیه می‌کنند که حساب‌های کاربری قدیمی نگهدارندگان npm از طریق حمله credential stuffing یا تصاحب دامنه منقضی شده به خطر افتاده‌اند. از جمله بسته‌های آسیب‌دیده می‌توان به country-currency-map (۲۸۸ دانلود)، @keepkey/device-protocol (۵۶ دانلود) و چندین بسته دیگر اشاره کرد که اکثر آنها هنوز در npm در دسترس هستند.
کلمات کلیدی : npm بسته مخرب, متغیرهای محیطی, سرقت داده, جاوااسکریپت مخرب, country-currency-map, credential stuffing
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.