Mashhur Node.js kutubxonasida orqa eshik topildi.

Orqa eshik Copay kriptovalyuta hamyonlaridan shaxsiy kalitlarni o’g’irlash uchun ishlatilgan.

Kriptovalyutani o’g’irlash va virtual aktivlar bilan bog’liq xizmatlarga hujum qilish uchun mo’ljallangan zararli kod ko’plab yirik loyihalarda qo’llaniladigan Event-Stream kutubxonasining bog’liqliklaridan birida aniqlandi.

Event-Stream juda mashhur kutubxona bo’lib, NPM omboridan kuniga taxminan 2 million marta yuklab olinadi. Taxminan uch oy oldin, vaqt va qiziqish yo’qligi sababli, kutubxona yaratuvchisi Dominik Tarr Event-Stream omboriga kirish va nashr etish huquqlarini NPMga boshqa ishlab chiquvchi Right9ctrl ga o’tkazdi, u deyarli darhol kutubxonaga zararli kodni o’z ichiga olgan Flatmap-Stream 0.1.1 paketini qo’shdi.

Bitcoin to’lov protsessori BitPay tomonidan ishlab chiqilgan Copay kriptovalyuta hamyonlaridan shaxsiy kalitlarni o’g’irlash uchun orqa eshikdan foydalanilgan. Right9ctrl o’g’irlangan kalitlardan hamyonlarni bo’shatish uchun foydalangan ko’rinadi. Zararli kod Copay ilovasining mobil va ish stoli versiyalarida shifrlangan kalitlarni olish uchun ishlatiladigan Credentials.getKeys funksiyasini o’g’irlab ketdi. Agar hamyonda Bitcoin yoki Bitcoin Cash bo’lsa, ularni shifrlash uchun ishlatiladigan tegishli kalitlar va parollar tajovuzkor tomonidan boshqariladigan copayapi.host serveriga yuborilgan. Foydalanuvchilar «npm ls event-stream flatmap-stream» buyrug’i yordamida o’z tizimlarini ushbu hujumga zaiflik bor-yo’qligini tekshirishlari mumkin. Agar chiqishda «flatmap-stream@0.1.1» kutubxonasi bo’lsa, tizim buzilgan.

Copayning shu yilning sentyabr, oktyabr va noyabr oylarida chiqarilgan barcha versiyalari zaif deb hisoblanadi. BitPay jamoasi allaqachon Event-Stream yoki Flatmap-Streamni o’z ichiga olmaydigan Copay 5.2.2 versiyasini chiqardi. Flatmap-Stream paketining zararli versiyasi va Event-Stream 3.3.6 endi NPM dan olib tashlandi, ammo Event-Streamning toza versiyalari omborda mavjud. Event-Stream va uning hosilalari bilan bog’liq loyihalarning to’liq ro’yxati bu yerda mavjud.