Кампания по распространению фишинговых пакетов была обнаружена аналитиками из Checkmarx и Illustria, которые совместно работали над расследованием произошедшего. Как говорят специалисты, пакеты загружались с аккаунтов, использующих определенную схему именования, имели схожие описания и вели к одному и тому же кластеру из 90 доменов, на которых было размещено более 65 000 фишинговых страниц. На сайтах были фейковые приложения, опросы, промокоды и многое другое. В некоторых случаях там были реферальные ссылки для AliExpress.
Больше всего фишинговых пакетов было загружено в NuGet – 136 258, в PyPI – 7 894 пакетов, а в NPM – всего 212.
Статистика загрузки вредоносных пакетов (Checkmarx)
URL-адреса фишинговых сайтов вставлялись в описание пакета для того, чтобы ссылки поднимали фишинговые сайты в выдаче. Описания пакетов призывают пользователей переходить по ссылкам, чтобы получить больше информации о приложениях, различных инструментах для генерации кодов, приложениях и т.д.
Описание одного из фишинговых пакетов (Checkmarx)
В некоторых случаях злоумышленники рекламировали поддельные генераторы подарочных карт Steam, коды электронных подарочных карт Playstation Network, сервисы по накрутке подписчиков подписчиков на различных платформах. Но чтобы воспользоваться ими, жертва должна ввести свою электронную почту, а также логин и пароль от своего аккаунта на сервисе/площадке. Так киберпреступники собирают данные жертвы, чтобы позже продать их на хакерских форумах.
Кроме того, злоумышленники еще и зарабатывают на этом, перенаправляя пользователей по реферальным ссылкам на различные маркетплейсы.
ИБ-специалисты, обнаружившие эту кампанию, уже сообщили NuGet, PyPI и NPM о заражении, поэтому все вредоносные пакеты уже удалены с площадок.