В популярных NPM-пакетах coa и rc обнаружен вредоносный код

Неизвестные злоумышленники скомпрометировали аккаунты разработчиков двух популярных NPM-пакетов coa и rc и загрузили вредоносные версии, содержавшие вредоносное ПО для кражи паролей.

Пакет coa предоставляет функции для разбора аргументов командной строки и насчитывает примерно 8,8 млн млн загрузок в неделю. Скомпрометированные версии пакета включают : 2.0.3, 2.0.4, 2.1.1, 2.1.3, 3.0.1 и 3.1.3.

Пакет rc предназначен для загрузки и разбора файлов конфигурации и насчитывает более 14 млн еженедельных загрузок. Вредоносными являются следующие версии: 1.2.9, 1.3.9 и 2.3.9.

Оба пакета были скомпрометированы примерно в одно и то же время. Получив доступ к учетной записи разработчика, злоумышленники добавили постустановочный скрипт в оригинальную кодовую базу, запускающий обфусцированный TypeScript. Данный скрипт собирал информацию об операционной системе и, в зависимости от установленной ОС, запускал пакетный файл (Windows) или bash-скрипт (Linux).

При изучении деобфусцированной версии пакетного файла для Windows выяснилось, что скомпрометированные пакеты загружают и запускают DLL-библиотеку, содержащую банковский троян Qakbot.

Все скомпрометированные версии пакетов coa и rc уже удалены из репозитория NPM.

За последние несколько недель это уже четвертый известный случай компрометации популярных NPM-пакетов. В середине октября специалисты обнаружили ПО для майнинга криптовалюты в JavaScript-библиотеках okhsa, klow и klown, спустя буквально несколько дней стало известно о вредоносных версиях популярной NPM-библиотеки UAParser.js, содержащих криптомайнер и ПО для и хищения паролей. Следом за этим были выявлены вредоносные NPM-пакеты, распространявшие вымогательское ПО и инфостилеры под видом библиотек Roblox.