0xNews - 데이터 탈취를 수행하는 NPM 패키지 발견

ReversingLabs 발표

IconBurst 로 명명

난독화된 javascript 가 포함된 24개 이상의 NPM 패키지 포함

이를 사용하여 만든 웹사이트의 사용자가 양식에 입력한 데이터를 훔치도록 설계된 악성 모듈 탑재

공격자가 정상적인 패키지와 유사하거나 일반적인 철자 오류가 있는 패키지를 공개 저장소를 통해 제공하는 기술인 타이포스쿼팅 typo-squatting 에 의존

공격자는 ionic.io 에 게시한 umbrellajs 와 NPM 패키지와 같은 트래픽이 많은 NPM 모듈로 위장

문제의 패키지들은 대부분 지난 달 게시되어 현재까지 총 27,000번 이상 다운로드

대부분의 모듈은 저장소에 등록되어 있어서 계속 다운로드 가능

문제로 지적된 모듈 리스트와 다운로드 횟수

icon-package - 17,774

ionicio - 3,724

ajax-libs - 2,440

footericon - 1,903

umbrellaks - 686

ajax-library - 530

pack-icons - 468

icons-package - 380

swiper-bundle - 185

icons-packages - 170

확인된 패키지들 악용 사례로는 icon-package 에서 추출된 데이터는 정상적인 ionic.io 웹사이트와 비슷하게 만든 ioninio.com 이라는 도메인으로 라우팅되도록 함

악성 모듈을 사용하여 감염된 앱과 웹에서 유출된 데이터의 범위를 결정할 방법이 없기에 공격의 전체 규모는 확인되지 않음

이번 공격의 성공으로 확인된 것은 애플리케이션 개발의 자유로움과 민감함 애플리케이션과 IT환경에 침입하는 악성코드나 취약한 코드에 대한 장벽이 낮아짐을 인지해야함

openLab