Pakiet npm indexed-btree omija blokadę skryptów instalacyjnych

Pakiet npm „indexed-btree” ukrywa złośliwy kod w zwykłej metodzie biblioteki, więc omija blokadę skryptów instalacyjnych wprowadzoną przez GitHub. Według badaczy Checkmarx podszywa się pod bibliotekę „sorted-btree” i ma już 2 mln pobrań tygodniowo. Materiał nie wspomina o poprawce.

Instalacja wygląda czysto i nie uruchamia mechanizmów zatwierdzania z npm v12. Loader siedzi w metodzie BTree.prototype.set, którą użytkownicy wywołują stale, i uruchamia plik sharedLoad.min.js z zaciemnionym pierwszym etapem. Po uruchomieniu malware zbiera dane o systemie: architekturę, nazwę hosta, procesor, pamięć i czas pracy. Wysyła je przez zaszyte w kodzie kanały Slack i Telegram, a dane serwera sterującego pobiera z kontraktu w sieci testowej Sepolia w Ethereum. Portfel powiązany z kampanią trzyma 109 ETH, ale raport nie mówi, że środki pochodzą z kradzieży kryptowalut.

Kogo dotyczy

Projekty, które zależą od pakietu „indexed-btree”, także przez pomyłkę z nazwą „sorted-btree”. Materiał nie podaje wersji ani listy poszkodowanych firm.