3аплахи публикуват зловредни пакети NPM, за да откраднат информацията и средствата на потребителите на PayPal и портфейлите за криптовалути.
Fortinet откри, че потребителите на PayPal са били обект на множество пакети за кражба на информация, които вероятно са били създадени в началото на март от участник в заплаха, известен като tommyboy_h1 и tommyboy_h2.
Пакетите са използвали теми, свързани с PayPal, като oauth2-paypal и buttonfactoryserv-paypal, за да подмамят разработчиците да ги инсталират. За да се избегне откриването, в зловредните пакети се използва кука за предварително инсталиране.
Куката осигурява автоматично изпълнение на зловреден скрипт преди инсталирането на пакета, за да се съберат системни данни и чувствителна информация, като потребителски имена и пароли, и да се изпратят на отдалечен сървър чрез динамично генериран URL адрес.
„За да откриете компромат, търсете необичайни NPM пакети с имена като „paypal“. Други признаци включват неочаквани мрежови връзки към непознати сървъри, така че проверете и мрежовите си логове за всякаква подозрителна активност“, отбелязва Fortinet.
Потребителите на приложенията за портфейли за криптовалути Atomic Wallet и Exodus, предупреждава ReversingLabs, са били обект на зловреден NPM пакет, предназначен да прихваща преводите на средства и да ги пренасочва към криптоадреси, контролирани от заплахата.
Наречен pdf-to-office и публикуван през март, пакетът се представя за библиотека, която поддържа конвертирането на PDF файлове в документи от Microsoft Office. При изпълнение обаче пакетът презаписва локалните файлове, използвани от Atomic Wallet и Exodus, със злонамерени версии, които съдържат легитимната функционалност на оригинала, но заменят изходящите криптоадреси с криптоадреса на нападателя.
Злонамереният код е видян да изпраща и ZIP архив към отдалечен сървър, което предполага, че може да събира и чувствителна информация от заразена система.
ReversingLabs също така предупреждава, че засегнатите потребители ще трябва напълно да премахнат компрометираните приложения за портфейли и да ги инсталират отново. В противен случай, дори и зловредният NPM пакет да бъде премахнат, портфейлите ще продължат да изпращат средства на адреса на нападателя.
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
