Cyberthreat.id - Lebih tiga lusin paket palsu telah ditemukan di repositori paket npm yang dirancang untuk mengekstrak data sensitif dari sistem pengembang.

Temuan itu disampaikan Fortinet FortiGuard Labs sebagaimana dikutip The Hacker News.

Satu set paket – bernama @expue/webpack, @expue/core, @expue/vue3-renderer, @fixedwidthtable/fixedwidthtable, dan @virtualsearchtable/virtualsearchtable – menyimpan file JavaScript yang dikaburkan yang mampu mengumpulkan rahasia berharga.

Ini termasuk konfigurasi Kubernetes, kunci SSH, dan metadata sistem seperti nama pengguna, alamat IP, dan nama host.

Perusahaan keamanan siber mengatakan mereka juga menemukan kumpulan empat modul lainnya, yaitu binarium-crm, career-service-client-0.1.6, hh-dep-monitoring, dan orbitplate, yang mengakibatkan ekstraksi kode sumber dan file konfigurasi secara tidak sah.

“File dan direktori yang ditargetkan mungkin berisi kekayaan intelektual yang sangat berharga dan informasi sensitif, seperti berbagai kredensial aplikasi dan layanan,” kata peneliti keamanan Jin Lee dan Jenna Wang.

"Ini kemudian mengarsipkan file dan direktori ini dan mengunggah arsip yang dihasilkan ke server FTP."

Beberapa paket yang diamati juga ditemukan memanfaatkan webhook Discord untuk mengekstrak data sensitif, sementara beberapa paket lainnya dirancang untuk secara otomatis mengunduh dan mengeksekusi file eksekusi yang berpotensi berbahaya dari URL.

Menariknya, paket jahat bernama @cima/prism-utils mengandalkan skrip instalasi untuk menonaktifkan validasi sertifikat TLS (NODE_TLS_REJECT_UNAUTHORIZED=0), yang berpotensi membuat koneksi rentan terhadap serangan musuh di tengah (AitM).

Perusahaan keamanan siber tersebut mengatakan bahwa mereka mengkategorikan modul yang teridentifikasi ke dalam sembilan kelompok berbeda berdasarkan kesamaan kode dan fungsinya, dengan mayoritas dari modul tersebut menggunakan skrip instalasi yang dijalankan sebelum atau sesudah instalasi untuk melakukan pengumpulan data.

“Pengguna akhir harus mewaspadai paket yang menggunakan skrip instalasi mencurigakan dan berhati-hati,” kata para peneliti.[]