17 пакетов npm воровали токены Discord

Исследователи обнаружили еще 17 вредоносных пакетов в репозитории npm. На этот раз малварь похищала учетные данные, токены, другую информацию о серверах Discord и не только. Токены действуют как аутентификационные cookie и позволяют захватить чужую учетную запись в Discord, пишет Хакер.

О проблеме рассказывают специалисты компании JFrog. Они пишут, что пейлоады вредоносных пакетов отличались: от инфостилеров до бэкдоров с полным удаленным доступом. То есть предполагается, что пакеты были созданы и распространялись разными злоумышленниками.

«Пакеты имеют разные тактики заражения, включая использование тайпсквоттинга, путаницы  зависимостей и троянских функций», — гласит отчет компании.

«К счастью, все пакеты были удалены до того, как они смогли набрать большое количество установок (согласно данным npm), поэтому нам удалось избежать сценария, подобного PyPI, когда вредоносные пакеты загружались десятки тысяч раз, прежде чем их обнаружили и удалили», — говорят эксперты.

Вышеупомянутая кража токенов для Discord позволяла злоумышленникам использовать платформу в качестве скрытого канала кражи данных, распространять вредоносное ПО среди других пользователей Discord и даже продавать премиум-аккаунты Discord Nitro третьим лицам, которые затем могли применять их в своих кампаниях.

Также подчеркивается, что пакет prerequests-xcode был особенно опасен и функционировал как полноценный троян удаленного доступа, представляя собой порт малвари DiscordRAT на Node.JS. Он обладал функциональностью для захвата скриншотов, сбора данных из буфера обмена, выполнения произвольного кода VBScript и PowerShell, кражи паролей и мог загружать вредоносные файлы.

«В последнее время мы наблюдаем настоящий шквал малвари, которая размещается и доставляется через репозитории с открытым исходным кодом, — пишут специалисты. — Публичные репозитории стали удобным инструментом для распространения вредоносных программ: сервер репозитория является доверенным ресурсом, и взаимодействие с ним не вызывает подозрений со стороны антивируса или брандмауэра. Кроме того, простота установки с помощью инструментов автоматизации, таких как клиент npm, обеспечивает готовый вектор для атак».