npm se confruntă cu amenințări duble: creștere masivă a spamului și redirecționări mascate

Acasă » Piton » npm se confruntă cu amenințări duble: creștere masivă a spamului și redirecționări mascate

Pe fondul unei analize tot mai atente a lanțurilor de aprovizionare open-source, registrul npm a fost zguduit de două amenințări distincte: un potop de pachete extins, bazat pe stimulente, legate de recompense de token-uri TEA și un set mai mic de pachete de redirecționare mascate care vizează selectiv victimele. Ambele campanii se bazează pe automatizare și subtilitate, arătând cât de repede pot exploata oportuniștii cel mai utilizat ecosistem JavaScript din lume.

În timp ce efortul depus pentru inundații a crescut la peste 150,000 de colete semnalizate În mai multe relatări, redirecționările mascate s-au bazat pe tactici anti-cercetare pentru a se ascunde la vedere. Împreună, ele evidențiază lacune persistente în guvernanța registrului, igiena dependențelorși strategii de detectare care se concentrează prea strict pe comportamentele tradiționale ale programelor malware în timpul instalării.

În avalanșa de colete IndonesianFoods

Campania, denumită informal „IndonesianFoods”, a folosit o schemă de denumire structurată – asocierea prenumelor indoneziene comune cu termeni alimentari plus variante numerice – pentru a crea mii de ambalaje cu aspect plauzibil. Măsurătorile anterioare au identificat aproximativ 43,000 de intrări legate de efort; rapoartele ulterioare au citat peste 100,000, iar operațiunile ulterioare au descoperit peste 150,000 în tot registrul.

Deși multe pachete păreau legitime - unele chiar au fost livrate funcționale Șabloane Next.js—au ascuns cod inactiv (de exemplu, auto.js sau publishScript.js). Când a fost lansat manual, scriptul respectiv a randomizat versiunile, a generat nume noi și a publicat pachete noi într-o buclă, cu rafale observate la fiecare câteva secunde și susținând că o singură rulare ar putea împinge Peste 17,000 de colete pe zi.

Această producție în masă era rareori izolată; intrările individuale declarau adesea opt până la zece dependențe care indicau alte pachete spam, creând o rețea autoreferențială. Efectul net a fost o răspândire asemănătoare unui vierme, fără a se baza pe informații tipice. hook-uri postinstalare sau comportamente evident rău intenționate, care au ținut multe scanere în tăcere.

Stimulentele financiare par să fi alimentat efortul. Cercetătorii au descoperit ceai.yaml fișiere din pachete controlate de atacatori care fac referire la conturi specifice și portofele cripto, aparent cu scopul de a maximiza scorurile de impact TEA și de a revendica recompense prin token-uri. Analizele indică o evoluție etapizată: o bază mare de spam în 2023, semnale de monetizare TEA în 2024 și fluxul de lucru de replicare extrem de automatizat în 2025.

Este demn de remarcat faptul că unele cercetări ulterioare au clarificat faptul că replicarea este nu este complet autonom; sarcina utilă trebuie declanșată. Chiar și așa, odată declanșată, bucla de publicare și denumirea bazată pe modele au amplificat masiv zgomotul de volum și de registry.

Detectarea, răspunsul și amploarea poluării registrului

Cercetătorii Amazon Inspector au implementat noi reguli asociate cu inteligența artificială la sfârșitul lunii octombrie și au semnalat rapid activitățile suspecte legate de tea.xyz. În câteva zile, echipa identificase mii de intrări; până la mijlocul lunii noiembrie, au coordonat munca cu Open Source Security Foundation a dus la atribuirea MAL-ID-urilor în ritm constant — adesea în aproximativ 30 de minute — cartografiind în cele din urmă Peste 150 de pachete legat de campanie.

Alte echipe de securitate au observat efecte de domino la scară largă. Sistemele de date au fost suprasolicitate de volumul de avertismente generate, iar platformele care se bazează pe fluxuri de vulnerabilități au raportat valuri de... intrări noi Cercetătorii au caracterizat evenimentul ca fiind de o amploare fără precedent, avertizând că gradul ridicat de automatizare și coordonarea între conturi face ca răspunsul și curățarea să fie mai complexe decât compromisurile tipice punctuale.

Chiar și fără furtul de acreditări sau accesul prin backdoor, riscurile sunt tangibile: persistente poluarea registrului care acoperă pachetele legitime, consumul risipitor de infrastructură și lățime de bandă și un precedent periculos care recompensează volumul în detrimentul valorii. Tactica creează, de asemenea, spațiu pentru ca actorii amenințători să introducă ulterior actualizări dăunătoare în mijlocul zgomotului.

De ce scanerele au ratat acest lucru - și ce se schimbă

Majoritatea instrumentelor de securitate pun accentul pe semnalele de alarmă din timpul instalării, cum ar fi scripturile postinstalare, semnalizatoarele de rețea sau operațiunile suspecte cu fișierele. Aici, fișierele inactive nu erau referențiate de nicio cale de cod, așa că scanerele le tratau frecvent ca fiind inerte. Lipsa... limitare de rataO analiză slabă a metadatelor și detectarea limitată a modelelor pentru artefactele publicate în bloc au permis două lucruri: încărcările de mare randament au rămas necontrolate, iar clusterele coordonate au rămas discrete.

Cercetătorii spun că episodul marchează o schimbare către manipularea la nivel de ecosistem, determinată de stimulente monetareÎn loc să compromită un singur pachet popular, atacatorii sunt stimulați să își extindă influența asupra multor intrări mici, ascunzând semnalele și erodând încrederea. Acest lucru determină apeluri pentru politici de registru mai stricte, analize comportamentale mai bogate și o mai bună coordonare a comunității.

• Publicarea în regim de blocare: restricționează publicarea npm la CI/CD și la mentenatorii autorizați; solicită verificări mai stricte ale identității pentru activități la scară largă.
• Îmbunătățiți acoperirea SCAsemnalizați fișierele inactive, modelele repetate și rețelele circulare de dependențe; preferați instrumentele care evidențiază riscurile care nu apar în timpul instalării.
• Constrânge raza exploziei: fixați versiunile, mențineți SBOM-urile și izolați CI/CD; adăugați limite de rată și CAPTCHA pentru trimiteri în masă la nivelul registrului.
• Audit continuu: eliminați pachetele de calitate scăzută și nefuncționale; monitorizați denumirile anormale, pierderea versiunilor și gruparea conturilor.

Pachetele de redirecționare Adspect-cloaked apar

Un incident separat npm a implicat șapte pachete publicate de un utilizator cunoscut sub numele de dino_renaștere între septembrie și noiembrie 2025. Șase intrări transportau o sarcină utilă compactă, de aproximativ 39kB, care amprentau vizitatorii și folosea un serviciu de mascare a traficului numit Adspect pentru a filtra cercetătorii, în timp ce „signals-embed” acționa ca o momeală.

• semnale încorporate (342 descărcări)
• dsidospsodlks (184 descărcări)
• applicationooks21 (340 descărcări)
• aplicație-phskck (199 descărcări)
• integrator-filescrypt2025 (199 descărcări)
• integrator-2829 (276 descărcări)
• integrator-2830 (290 descărcări)

Codul malițios se executa imediat la încărcarea într-un mediu de browser prin intermediul unui Expresie de funcție invocată imediat (IIFE). A colectat o amprentă a sistemului, a încercat să blocheze instrumentele dezvoltatorului pentru a frustra analiza și a consultat un endpoint proxy pentru a decide dacă să afișeze o CAPTCHA fals care, în cele din urmă, redirecționa victimele către destinații cu tematică criptografică care se prefăceau a fi servicii precum StandX. Dacă vizitatorul părea a fi un cercetător, în schimb era afișată o pagină albă simplă – completată cu referințe la o entitate falsă numită Offlido.

Adspect se promovează ca o platformă antifraudă bazată pe cloud cu „camuflaj antiglonț”, oferită prin intermediul unor planuri de abonament pe niveluri. Prezența sa în cadrul pachetelor lanțului de aprovizionare este neobișnuită, iar cercetătorii susțin că combinarea logicii Adspect cu modulele npm a creat... bariere de trafic autonome set de instrumente: distribuție printr-un canal de dezvoltator, execuție în browser și expunere selectivă a sarcinii reale doar victimelor probabile.

Pași practici pentru echipe și registre

Pentru echipele de dezvoltare, cele mai sigure mișcări imediate sunt înăsprirea controalelor de publicare, de preferință detectoare care captează artefacte latenteși eliminați pachetele discutabile din arborii de dependențe. Pentru administratorii de registru, adăugarea de limite de trimitere, îmbunătățirea analizei metadatelor și integrarea detectării anomaliilor pentru modelele de denumire și grupare între conturi ar trebui să ridice ștacheta pentru potențialii spammeri.

Pe fondul schimbării stimulentelor și al tacticilor din ce în ce mai industrializate, apărătorii NPM se confruntă cu o altă provocare: atunci când atacatorii pot câștiga prin inundații în loc să infecteze, linia dintre pacoste și risc se îngustează - iar vigilența, colaborarea și controalele mai inteligente devin singurul răspuns sustenabil.