3аплахи публикуват зловредни пакети NPM, за да откраднат информацията и средствата на потребителите на PayPal и портфейлите за криптовалути.
Fortinet откри, че потребителите на PayPal са били обект на множество пакети за кражба на информация, които вероятно са били създадени в началото на март от участник в заплаха, известен като tommyboy_h1 и tommyboy_h2.
Пакетите са използвали теми, свързани с PayPal, като oauth2-paypal и buttonfactoryserv-paypal, за да подмамят разработчиците да ги инсталират. За да се избегне откриването, в зловредните пакети се използва кука за предварително инсталиране.
Куката осигурява автоматично изпълнение на зловреден скрипт преди инсталирането на пакета, за да се съберат системни данни и чувствителна информация, като потребителски имена и пароли, и да се изпратят на отдалечен сървър чрез динамично генериран URL адрес.
„За да откриете компромат, търсете необичайни NPM пакети с имена като „paypal“. Други признаци включват неочаквани мрежови връзки към непознати сървъри, така че проверете и мрежовите си логове за всякаква подозрителна активност“, отбелязва Fortinet.
Потребителите на приложенията за портфейли за криптовалути Atomic Wallet и Exodus, предупреждава ReversingLabs, са били обект на зловреден NPM пакет, предназначен да прихваща преводите на средства и да ги пренасочва към криптоадреси, контролирани от заплахата.
Наречен pdf-to-office и публикуван през март, пакетът се представя за библиотека, която поддържа конвертирането на PDF файлове в документи от Microsoft Office. При изпълнение обаче пакетът презаписва локалните файлове, използвани от Atomic Wallet и Exodus, със злонамерени версии, които съдържат легитимната функционалност на оригинала, но заменят изходящите криптоадреси с криптоадреса на нападателя.
Злонамереният код е видян да изпраща и ZIP архив към отдалечен сървър, което предполага, че може да събира и чувствителна информация от заразена система.
ReversingLabs също така предупреждава, че засегнатите потребители ще трябва напълно да премахнат компрометираните приложения за портфейли и да ги инсталират отново. В противен случай, дори и зловредният NPM пакет да бъде премахнат, портфейлите ще продължат да изпращат средства на адреса на нападателя.
