18 δημοφιλή πακέτα κώδικα χακαρίστηκαν για κλοπή crypto

Τουλάχιστον 18 δημοφιλή πακέτα κώδικα JavaScript, που συλλογικά κατεβαίνουν περισσότερες από δύο δισεκατομμύρια φορές κάθε εβδομάδα, παραβιάστηκαν προσωρινά με κακόβουλο λογισμικό, αφού ένας προγραμματιστής που συμμετείχε στη συντήρηση των έργων έπεσε θύμα phishing.

Η επίθεση φαίνεται να περιορίστηκε γρήγορα και επικεντρώθηκε στενά στην κλοπή crypto. Ωστόσο, οι ειδικοί προειδοποιούν ότι μια παρόμοια επίθεση με πιο κακόβουλο φορτίο θα μπορούσε να οδηγήσει σε μια διαταραχή από κακόβουλο λογισμικό που είναι πολύ πιο δύσκολο να εντοπιστεί και να περιοριστεί.

Δείτε επίσης: Hackers έκλεψαν crypto αξίας $ 27 εκατ. από τη BigONE

Αυτό το phishing email παρέσυρε έναν προγραμματιστή να συνδεθεί σε έναν ψεύτικο ιστότοπο NPM και να παρέχει έναν μοναδικό κωδικό για έλεγχο ταυτότητας δύο παραγόντων. Οι phishers χρησιμοποίησαν στη συνέχεια τον λογαριασμό NPM αυτού του προγραμματιστή για να προσθέσουν κακόβουλο κώδικα σε τουλάχιστον 18 δημοφιλή πακέτα κώδικα JavaScript.

Η Akido, μια εταιρεία ασφάλειας στο Βέλγιο που παρακολουθεί νέες ενημερώσεις κώδικα σε σημαντικά αποθετήρια ανοικτού κώδικα, διαπίστωσε ότι κακόβουλος κώδικας είχε προστεθεί σε τουλάχιστον 18 ευρέως χρησιμοποιούμενες βιβλιοθήκες κώδικα διαθέσιμες στο NPM (Node Package Manager), το οποίο λειτουργεί ως κεντρικός κόμβος για την ανάπτυξη JavaScript και τις τελευταίες ενημερώσεις σε ευρέως χρησιμοποιούμενα στοιχεία JavaScript.

Η JavaScript είναι μια ισχυρή γλώσσα προγραμματισμού που χρησιμοποιείται από αμέτρητους ιστότοπους για να δημιουργήσει μια πιο διαδραστική εμπειρία με τους χρήστες. Οι προγραμματιστές μπορούν να επαναχρησιμοποιήσουν υπάρχοντα πακέτα κώδικα από το NPM που είναι ειδικά σχεδιασμένα για εργασίες όπως η εισαγωγή δεδομένων σε μια φόρμα.

Εάν οι κυβερνοεγκληματίες καταφέρουν να αποκτήσουν τα διαπιστευτήρια NPM από προγραμματιστές, μπορούν να εισάγουν κακόβουλο κώδικα που επιτρέπει στους επιτιθέμενους να ελέγχουν τι βλέπουν οι χρήστες στο πρόγραμμα περιήγησής τους όταν επισκέπτονται έναν ιστότοπο που χρησιμοποιεί μία από τις επηρεασμένες βιβλιοθήκες κώδικα.

Δείτε ακόμα: Κακόβουλη επέκταση για το Cursor AI IDE επέτρεψε κλοπή crypto

Σύμφωνα με την Akido, οι επιτιθέμενοι εισήγαγαν κώδικα που σιωπηλά υποκλέπτει δραστηριότητες κρυπτονομισμάτων στο πρόγραμμα περιήγησης, χειρίζεται αλληλεπιδράσεις πορτοφολιού και ξαναγράφει προορισμούς πληρωμών έτσι ώστε τα κεφάλαια και οι εγκρίσεις να ανακατευθύνονται σε λογαριασμούς που ελέγχονται από τους επιτιθέμενους χωρίς εμφανή σημάδια στον χρήστη.

Η Akido χρησιμοποίησε το κοινωνικό δίκτυο Bsky για να ειδοποιήσει τον επηρεασμένο προγραμματιστή, Josh Junon, ο οποίος απάντησε γρήγορα ότι ήταν ενήμερος ότι είχε πέσει θύμα phishing. Το phishing email που έπεσε ο Junon ήταν μέρος μιας μεγαλύτερης εκστρατείας που μιμήθηκε το NPM και ενημέρωνε τους παραλήπτες ότι έπρεπε να ενημερώσουν τα διαπιστευτήρια ελέγχου ταυτότητας δύο παραγόντων (2FA). Ο phishing ιστότοπος μιμήθηκε τη σελίδα σύνδεσης του NPM και υπέκλεψε τα διαπιστευτήρια και το 2FA token του Junon. Μόλις συνδέθηκαν, οι phishers άλλαξαν τη διεύθυνση email που ήταν καταχωρημένη για τον λογαριασμό NPM του Junon, κλειδώνοντάς τον προσωρινά έξω.

Η Akido ειδοποίησε τον συντηρητή στο Bluesky, ο οποίος απάντησε ότι ήταν ενήμερος για την παραβίαση και ξεκίνησε να καθαρίζει τα παραβιασμένα πακέτα.

Ο Junon επίσης εξέδωσε μια συγγνώμη στο HackerNews, λέγοντας στην κοινότητα, “Ναι, έπεσα θύμα.” Περιέγραψε το περιστατικό ως μια στοχευμένη επίθεση και εξέφρασε την αμηχανία του για την κατάσταση.

Δείτε επίσης: Ευρώπη: Οι εταιρείες crypto δεν πρέπει να παραπλανούν το κοινό

Ο Philippe Caturegli, “chief hacking officer” στη συμβουλευτική εταιρεία ασφαλείας Seralys, σημείωσε ότι οι επιτιθέμενοι κατέγραψαν τον ψεύτικο ιστότοπο — npmjs[.]help — μόλις δύο ημέρες πριν από την αποστολή του phishing email. Ο ψεύτικος ιστότοπος χρησιμοποίησε υπηρεσίες από το dnsexit[.]com, μια εταιρεία δυναμικού DNS που προσφέρει δωρεάν ονόματα τομέα που μπορούν να κατευθυνθούν γρήγορα σε οποιαδήποτε διεύθυνση IP.