Czy jscrambler npm został skompromitowany w ataku na łańcuch dostaw?
Czy jscrambler npm został skompromitowany w ataku na łańcuch dostaw?
W ostatnich dniach pojawiły się doniesienia o skompromitowanej wersji popularnego pakietu jscrambler npm, który wprowadził ukryte natywne binaria. Te złośliwe pliki uruchamiają się automatycznie podczas instalacji, narażając użytkowników na atak na łańcuch dostaw, zanim jakikolwiek kod aplikacji zostanie uruchomiony.
Wersja 8.14.0, opublikowana 11 lipca, zawiera nieudokumentowany preinstall hook, który wywołuje plik dist/setup.js. Wprowadza także nowe pliki, takie jak dist/setup.js i dist/intro.js, oraz binaria specyficzne dla systemów Linux, macOS i Windows, osadzone w obfuskowanym kontenerze CSI. Żadne z tych plików ani hook nie występowały w poprzedniej wersji 8.13.0.
Warto zauważyć, że pakiet został wykryty przez system Socket zaledwie 6 minut po publikacji. Binaries są wybierane i uruchamiane w zależności od systemu operacyjnego, na którym jest zainstalowany pakiet.
- Wersja 8.14.0 zawiera nowe, złośliwe pliki.
- Pakiet został skompromitowany w ciągu 6 minut od publikacji.
- Nowe binaria są specyficzne dla trzech systemów operacyjnych.
Na podstawie: Źródła
