Вредоносные версии содержали ПО для кражи паролей.
https://www.securitylab.ru/upload/ib...b1dc2b5273.jpg
Неизвестные злоумышленники скомпрометировали аккаунты разработчиков двух популярных NPM-пакетов coa и rc и загрузили вредоносные версии, содержавшие вредоносное ПО для кражи паролей.
Пакет coa предоставляет функции для разбора аргументов командной строки и насчитывает примерно 8,8 млн млн загрузок в неделю. Скомпрометированные версии пакета включают : 2.0.3, 2.0.4, 2.1.1, 2.1.3, 3.0.1 и 3.1.3.
Пакет rc предназначен для загрузки и разбора файлов конфигурации и насчитывает более 14 млн еженедельных загрузок. Вредоносными являются следующие версии: 1.2.9, 1.3.9 и 2.3.9.
Оба пакета были скомпрометированы примерно в одно и то же время. Получив доступ к учетной записи разработчика, злоумышленники добавили постустановочный скрипт в оригинальную кодовую базу, запускающий обфусцированный TypeScript. Данный скрипт собирал информацию об операционной системе и, в зависимости от установленной ОС, запускал пакетный файл (Windows) или bash-скрипт (Linux).
При изучении деобфусцированной версии пакетного файла для Windows выяснилось, что скомпрометированные пакеты загружают и запускают DLL-библиотеку, содержащую банковский троян Qakbot.
Все скомпрометированные версии пакетов coa и rc уже удалены из репозитория NPM.
За последние несколько недель это уже четвертый известный случай компрометации популярных NPM-пакетов. В середине октября специалисты обнаружили ПО для майнинга криптовалюты в JavaScript-библиотеках okhsa, klow и klown, спустя буквально несколько дней стало известно о вредоносных версиях популярной NPM-библиотеки UAParser.js, содержащих криптомайнер и ПО для и хищения паролей. Следом за этим были выявлены вредоносные NPM-пакеты, распространявшие вымогательское ПО и инфостилеры под видом библиотек Roblox.