Клоны NPM-пакета с 8 млн загрузок в неделю добывают Monero и крадут пароли

Клоны NPM-пакета с 8 млн загрузок в неделю добывают Monero и крадут пароли

Клоны NPM-пакета с 8 млн загрузок в неделю добывают Monero и крадут пароли

Злоумышленники взломали npm-аккаунт автора проекта UAParser.js и опубликовали три вредоносных обновления, загружающих криптомайнер и крадущего пароли трояна. Чистые версии пакета уже доступны, замену рекомендуется произвести незамедлительно.

Библиотека с открытым исходным кодом UAParser.js, выполняющая разбор HTTP-заголовка User-Agent, очень популярна. Ее используют более 1200 проектов, в том числе продукты Microsoft, Amazon, Google, Facebook, Mozilla, Apple, Dell, IBM, Siemens, Oracle, HP, MongoDB, Slack и ProtonMail. Этот npm-пакет насчитывает около 8 млн загрузок в неделю; в октябре его уже скачали более 24 млн раз.

В конце прошлой недели в NPM появились три вредоносных обновления пакета UAParser.js — 0.7.29, 0.8.0 и 1.0.0. Автор проекта полагает, что его учетную запись в репозитории взломали, и сетует, что не смог отозвать публикацию опасных фальшивок из-за политик этого хранилища.

Проведенный в BleepingComputer анализ показал, что при установке на машину зараженной версии UAParser.js сценарий preinstall.js проверяет тип используемой ОС и запускает либо шелл-скрипт Linux, либо bat-файл Windows.

На Linux-устройствах зловред проверяет также местоположение жертвы; если она проживает в России, на Украине, в Белоруссии или Казахстане, выполнение сценария прекращается. В остальных случаях происходит загрузка и запуск майнера XMRig (файла jsextension), который во избежание обнаружения использует лишь 50% мощности CPU.

На Windows-машины тоже загружается криптомайнер (сохраняется под именем jsextension.exe). Кроме этого, bat-файл скачивает вредоносную библиотеку sdd.dll (сохраняется как create.dll) — трояна, способного красть пароли из браузеров, мессенджеров, клиентов email, FTP, VNC, а также диспетчера учетных данных Windows. По мнению экспертов, что это некий вариант хорошо известного DanaBot.

Разработчики UAParser.js за несколько часов вернули контроль над проектом и выпустили чистые версии 0.7.30, 0.8.1 и 1.0.1. Согласно алерту на сайте GitHub, тем, кто установил вредоносный пакет, рекомендуется как можно скорее произвести обновление и проверить систему на наличие подозрительной активности. Все пароли, ключи и сертификаты безопасности следует заменить, используя другой компьютер.

Исследователи полагают, что создатель вредоносных фальшивок — тот же человек, который неделей ранее выложил в NPM аналогичные клоны UAParser.js. Зловредные пакеты быстро обнаружили и удалили, а соответствующий аккаунт закрыли.

Обновление Windows 11 превращает курсор в привет из 1998 года

Необязательное августовское обновление Windows 11 KB5120998 принесло долгожданные функции: перемещаемую панель задач, изменяемый размер меню «Пуск» и более аккуратную строку поиска. Но за обновление дизайна некоторые пользователи расплачиваются увеличенным белым курсором и чёрными обоями.

После установки патча пользовательские указатели мыши могут сбрасываться на стандартный вариант, напоминающий курсор из старых версий Windows.

Попытки изменить его через настройки специальных возможностей не помогают: указатель остаётся белым, увеличенным, а иногда ещё и обзаводится подозрительно длинным хвостом.

Вторая распространённая жалоба касается рабочего стола. У части владельцев компьютеров обои заменяются сплошным чёрным фоном. Картинку можно вернуть вручную, но после выхода из системы или перезагрузки она иногда снова исчезает. Некоторым счастливчикам достаются сразу оба бага.

Проблемы затрагивают не все устройства и могут зависеть от оборудования, масштаба экрана или настроек темы. Единственный подтверждённый пользователями способ исправить ситуацию — удалить KB5120998. Правда, вместе с ошибками исчезнут и новые возможности панели задач, меню «Пуск» и поиска.

Microsoft пока не внесла сбои с курсором и обоями в список известных проблем. Сотрудник компании Джен Джентльмен напомнила, что обновление необязательное, и попросила пострадавших отправлять отчёты через Feedback Hub. При этом его изменения позднее войдут в обязательный пакет.

Так что с установкой KB5120998 разумнее не спешить.

RSS: Новости на портале Anti-Malware.ru