El paquete npm malicioso abre puertas traseras en las computadoras de los programadores

Imagen: npm, Armand Khoury, ZDNet El equipo de seguridad de npm ha eliminado hoy una biblioteca JavaScript maliciosa del sitio web de npm que contenía código malicioso para abrir puertas traseras en las computadoras de los programadores. La biblioteca JavaScript se denominó "twilio-npm" y su comportamiento malicioso fue descubierto durante el fin de semana por Sonatype, una compañía que monitorea los repositorios de paquetes públicos como parte de sus servicios de operaciones de seguridad para desarrolladores (DevSecOps). En un informe publicado hoy, Sonatype dijo que la biblioteca se publicó por primera vez en el sitio web de npm el viernes, se descubrió el mismo día y se eliminó hoy después de que el equipo de seguridad de npm incluyó el paquete en una lista negra.
A pesar de la corta vida útil del portal npm, la biblioteca se descargó más de 370 veces y se incluyó automáticamente en proyectos de JavaScript creados y administrados a través de la utilidad de línea de comandos npm (Node Package Manager). Ax Sharma, el investigador de seguridad de Sonatype que descubrió y analizó la biblioteca, dijo que el código malicioso encontrado en la biblioteca falsa de Twilio abrió un shell inverso de TCP en todas las computadoras donde se descargó e importó la biblioteca dentro de los proyectos JavaScript / npm / Node.js. < br> El shell inverso abrió una conexión a "4.tcp.ngrok [.
] io: 11425" desde donde esperaba recibir nuevos comandos para ejecutarse en las computadoras de los usuarios infectados. Sharma dijo que el shell inverso solo funcionaba en sistemas operativos basados ​​en UNIX. "Cualquier computadora que tenga este paquete instalado o en ejecución debe considerarse totalmente comprometida", dijo hoy el equipo de seguridad de npm, confirmando la investigación de Sonatype.
"Todos los secretos y claves almacenados en esa computadora deben rotarse inmediatamente desde una computadora diferente", agregó el equipo de npm. Esto marca la cuarta eliminación importante de un paquete npm malicioso en los últimos tres meses. A fines de agosto, el personal de npm eliminó una biblioteca maliciosa de npm (JavaScript) diseñada para robar archivos confidenciales del navegador de un usuario infectado y la aplicación Discord.
En septiembre, el personal de npm eliminó cuatro bibliotecas de npm (JavaScript) para recopilar detalles del usuario y cargar los datos robados en una página pública de GitHub. En octubre, el equipo de npm eliminó tres paquetes de npm (JavaScript) que también se detectaron abriendo shells inversos (puertas traseras) en las computadoras de los desarrolladores. Los tres paquetes también fueron descubiertos por Sonatype.
A diferencia del que se descubrió durante el fin de semana, estos tres también funcionaron en sistemas Windows, y no solo en sistemas tipo UNIX. pag VER GALERIA COMPLETA.