Se encontraron cuatro paquetes npm cargando detalles de usuario en una página de GitHub

Imagen: npm\n\nCuatro paquetes npm de JavaScript contenían código malicioso que recopilaba detalles del usuario y cargaba la información en una página pública de GitHub.\n\nLos cuatro paquetes donde se identificó este código malicioso fueron:\n\nLos cuatro paquetes fueron desarrollados por el mismo usuario (simplelive12) y subidos al portal npm en agosto. El autor eliminó dos paquetes (lodashs, loadyml) poco después de la publicación, pero no antes de que infectaran a algunos usuarios. \u003cbr\u003e\n\nLos paquetes restantes, electorn y loadyaml, fueron eliminados la semana pasada, el 1 de octubre, por el equipo de seguridad de npm luego de un informe de Sonatype, una compañía que monitorea los repositorios de paquetes públicos como parte de sus servicios de operaciones de seguridad para desarrolladores (DevSecOps).\n\nSegún el investigador de seguridad de Sonatype, Ax Sharma, los cuatro paquetes maliciosos utilizaron una técnica conocida como typosquatting para obtener instalaciones.\n\nLos cuatro eran errores ortográficos de paquetes más populares, y se basaban en que los usuarios cometieran errores al escribir el nombre de un paquete popular para abrirse camino dentro de la base de código de alguien. \u003cbr\u003e\n\nPero una vez que un desarrollador incluyó e instaló por error uno de los cuatro paquetes maliciosos, el código malicioso que se encuentra dentro recopilaría la dirección IP del desarrollador, el país, la ciudad, el nombre de usuario de la computadora, la ruta del directorio de inicio y la información del modelo de CPU y publicaría esta información como un nuevo comentario dentro de la sección \"Problemas\" de un repositorio de GitHub.\n\nImagen: Sonatype\n\nSharma dijo que los datos no permanecerían en GitHub por mucho tiempo y se eliminarían cada 24 horas, muy probablemente después de ser raspados e indexados dentro de otra base de datos.\n\nSi bien es posible que nunca sepamos cuál fue el objetivo final de esta campaña, es muy probable que estemos ante una operación de reconocimiento. \u003cbr\u003e\n\nLa información como direcciones IP, nombres de usuario y rutas de directorio de inicio puede revelar si un usuario está trabajando desde casa o en un entorno corporativo. Los datos como la ruta del directorio de inicio y el modelo de CPU también pueden ayudar a los atacantes a implementar malware finamente ajustado para una arquitectura específica.\n\nTodo lo que el atacante habría tenido que hacer era enviar una actualización posterior a los paquetes electorn y loadyaml con código malicioso adicional. \u003cbr\u003e\n\nSe recomienda a los desarrolladores que revisen las dependencias del proyecto y vean si accidentalmente usaron una de las cuatro.\n\npags\n\nVER GALERIA COMPLETA.