Злоумышленники пытались нарушить цепочку поставок npm с помощью десятков вредоносных модулей.
Широкомасштабная хакерская кампания началась еще в декабре 2021 года. Исследователи из ReversingLabs назвали ее IconBurst и сообщили, что злоумышленники используют не менее двух десятков вредоносных npm-пакетов с обфусицированным JavaScript-кодом внутри, который использовался для сбора личных данных жертв.
По словам специалистов, хакеры опираются на тайпсквоттинг , выдавая свои вредоносные пакеты за легитимные. Чтобы обмануть разработчиков, злоумышленники давали пакетам имена, похожие на легитимные, после чего загружали их в публичные репозитории.
Чаще всего хакеры подделывали популярные npm-модули, такие как umbrellajs или ionic.io. Вредоносные пакеты были скачаны более 27 000 раз, а некоторые из них до сих пор доступны для скачивания. Ниже приведен список самых популярных пакетов и количество скачиваний:
Полный масштаб атаки еще предстоит выяснить, поскольку нет возможности определить объем данных, украденных из взломанных приложений и веб-сайтов. Тем не менее, предполагается, что мошеннические npm-пакеты использовались в сотнях приложений.