TL;DR
Złośliwy pakiet npm nie musi kraść haseł, żeby być groźny. Badacze z OX Research znaleźli 101 paczek z jednej kampanii, które przez bibliotekę Baileys po cichu zapisywały konta WhatsApp na wskazane kanały. Dzięki temu sprzedawcy kont do gier i aplikacji nabijali sobie liczbę obserwujących. Część paczek dodatkowo wyciszała kanał, żeby ofiara nie dostawała powiadomień.
Autorzy kampanii zadbali o elastyczność. 19 pakietów pobierało listę kanałów z GitHuba, więc cele dało się zmieniać bez nowej publikacji. 60 miało identyfikatory wpisane w kod, a 14 ukrywało je w base64 lub kodach zaproszeń. Sekurak opisuje też, co zrobić, jeśli taka paczka trafiła do Twojego projektu, w tym dlaczego trzeba odpiąć i dodać na nowo uwierzytelnione urządzenia.
Badacze bezpieczeństwa z OX Research zidentyfikowali 101 złośliwych paczek npm będących częścią tej samej kampanii. Jej celem było… zwiększanie liczby subskrybentów kanałów na What...
Czytaj cały wpis u źródła
