Откриха зловреден код в популярна JavaScript библиотека

Популярна JavaScript библиотека, използвана от десетки интернет компании по света е била компрометирана за ограничен срок от време, за да доставя миньори на крипто и краде пароли, предава Bleeping Computer.

Става дума за UAParser.js, библиотека, която е използвана по повече от седем милиона пъти седмично и служи за получаване на базисни данни за потребителския агент на посетителя на даден сайт, като например браузъра и вида на операционната система. Библиотеката се използва активно всеки ден от компании от ранга на Amazon, Microsoft, Facebook, Reddit и др. Създателят алармира за регистрираната от него промяна, след като започнал да получава огромни обеми от спам в електронната си поща.

„Забелязах нещо необичайно, когато електронната ми поща беше атакувана със спам от стотици сайтове. Според мен някой е атакувал моя NPM акаунт е публикувал компрометирани пакети (0.7.29, 0.8.0, 1.0.0), които вероятно ще инсталират зловреден софтуер“, пише създателят на библиотеката Фейсал Салман в дискусия от края на миналата седмица.

Атаката е била насочена към Windows и Линукс машини, като в началото, програмата проверява типа на операционната система, след което и изпълнява съответен код за нея (batch файл за Windows, шел-скрипт за Линукс). Един от коментиращите в темата на Салман споделя, че е бил засегнат от тази атака и се опитва да се справи с пораженията. Скриптът, с който започва самата атака, сочи анализ на Sonatype, проверява дали машината не е разположена в Русия, Украйна, Беларус или Казахстан и ако не е инсталира програмата за добив на Monero XMRig (Линукс) или XMRig и троянска програма, която краде данни за вписване (Windows). Ползващите UAParser.js трябва да проверят версията на библиотеката, която използват и ако не използват нейната последна версия, да актуализират незабавно. Допълнително, може да проверят машината си за присъствието на зловреден код.