سوءاستفاده از npm برای میزبانی صفحات فیشینگ
این 24 پکیج برخلاف نمونه‌های رایج حملات زنجیره تأمین در npm، پس از نصب، رایانه توسعه‌دهندگان را به بدافزار یا بدافزارهای رباینده اطلاعات (Infostealers) آلوده نمی‌کنند.
در عوض، مهاجمان از رجیستری npm به‌عنوان فضای ذخیره‌سازی رایگان برای صفحات HTML مخرب استفاده می‌کنند. پلتفرم‌های میرورینگ (Mirroring) مانند UNPKG و npmmirror نیز این صفحات را کپی می‌کنند و در اختیار کاربران قرار می‌دهند.
از آنجا که برخی از این پلتفرم‌ها امکان دسترسی مستقیم به فایل‌های پکیج‌های npm از طریق مرورگر را فراهم می‌کنند، مهاجمان می‌توانند از این زیرساخت‌ها به‌عنوان سرویس میزبانی رایگان برای صفحات فیشینگ استفاده کنند.
به گفته شرکت OX Security، هدف مهاجمان از سوءاستفاده از npm، آلوده کردن توسعه‌دهندگانی نیست که این پکیج‌ها را نصب می‌کنند. محتوای مخرب در واقع تنها یک فایل HTML درون پکیج npm است و دانلود این فایل به‌تنهایی موجب آلودگی سیستم نمی‌شود. مهاجمان از رجیستری npm و میرورهای آن به‌عنوان فضایی امن و معتبر برای ذخیره و میزبانی این محتوای مخرب استفاده می‌کنند.
بررسی یکی از پکیج‌های شناسایی‌شده نشان داد که این پکیج تنها شامل دو فایل index.html و package.json است. در فایل package.json نیز index.html به‌عنوان فایل اصلی پکیج تعریف شده است.
تبدیل میرورهای npm به زیرساخت میزبانی صفحات فیشینگ
پس از آنکه UNPKG این پکیج را میرور می‌کند، فایل HTML آن مستقیماً از طریق مرورگر و با استفاده از یک آدرس وب مشخص در دسترس کاربران قرار می‌گیرد. در این حالت، صفحه مخرب به‌جای بارگذاری از زیرساخت تحت کنترل مهاجم، از طریق دامنه معتبر unpkg.com در مرورگر کاربر نمایش داده می‌شود. به این ترتیب، صفحات فیشینگ می‌توانند محتوای خود را از طریق یک دامنه معتبر و شناخته‌شده به کاربران نمایش دهند.
این روش می‌تواند به دور زدن برخی سازوکارهای امنیتی نیز کمک کند. نرم‌افزارهای امنیتی ممکن است دامنه‌های مخرب را مسدود کنند، اما در این سناریو، محتوای مخرب از دامنه معتبر unpkg.com بارگذاری می‌شود.
به گفته OX Security، این تکنیک عملاً میرورهای npm را به «میزبان‌های فرانت‌اند رایگان برای صفحات HTML مخرب و حتی سایر پیلودها» تبدیل کرده است.
ریدایرکت کاربران با صفحات HTML مخرب
صفحه HTML مخرب با شبیه‌سازی صفحه تأیید امنیتی کلودفلر، ظاهری مشابه فرآیندهای امنیتی واقعی این شرکت ایجاد می‌کند. این صفحه در فرآیند جعلی خود از سرویس معتبر کپچای تِرن‌استایل کلودفلر (Cloudflare Turnstile) نیز استفاده می‌کند و به این ترتیب، می‌تواند اعتماد بازدیدکنندگان را جلب کند.
صرف‌نظر از نتیجه فرآیند تأیید، یک کد جاوااسکریپت (JavaScript) به‌شدت مبهم‌سازی‌شده (Obfuscated) در صفحه فعال می‌شود و بازدیدکننده را به وب‌سایت دیگری هدایت می‌کند. در نتیجه، صفحات فیشینگ می‌توانند کاربران را به مقصدهای موردنظر مهاجمان منتقل کنند.
به گفته پژوهشگران شرکت OX Security، نسخه‌های اولیه این تهدید در ماه جولای بازدیدکنندگان را به دامنه microcloud[.]homes و در ماه آگوست به login[.]microsofte[.]live هدایت می‌کردند. همچنین بررسی‌ها نشان داد برخی از ریدایرکت‌های اولیه در ماه جولای در نهایت به صفحه ورود رسمی سرویس ایمیل مایکروسافت اوت‌لوک (Microsoft Outlook) در آدرس outlook.office.com/mail منتهی می‌شدند.
بررسی یکی از صفحات مخرب میزبانی‌شده روی UNPKG نشان داد که این صفحه همچنان بازدیدکنندگان را به همان مقصد هدایت می‌کند. اگرچه دامنه مذکور در حال حاضر فعال نیست، اما احتمالاً مهاجمان از آن برای میزبانی یک صفحه ورود جعلی مایکروسافت استفاده کرده باشند.
تغییر مقصد ریدایرکت بدون انتشار مجدد پکیج
به گفته پژوهشگران، برخی پکیج‌های دیگر از روش متفاوتی برای ریدایرکت استفاده می‌کنند که بر بستر api.keyval.org انجام می‌شود. این سرویس یک پلتفرم معتبر برای ذخیره‌سازی داده‌های کلید-مقدار (Key-Value) است.
در این روش، کد جدید یک مقدار رمزنگاری‌شده را از این سرویس دریافت کرده و آن را مستقیماً در مرورگر رمزگشایی می‌کند. سپس بازدیدکننده را به آدرس وب به‌دست‌آمده هدایت می‌کند.
این سازوکار به مهاجمان امکان می‌دهد مقصد ریدایرکت را از راه دور تغییر دهند، بدون اینکه پکیج npm را اصلاح یا دوباره منتشر کنند. در زمان بررسی‌های OX Security، مقصد ریدایرکت از راه دور به‌گونه‌ای تنظیم شده بود که بازدیدکنندگان را به وب‌سایت رسمی چت‌جی‌پی‌تی (ChatGPT) هدایت می‌کرد.
OX Security هشدار می‌دهد که این مقدار می‌تواند در هر زمان تغییر کند و مقصد ریدایرکت را به یک حمله کلیک‌فیک (ClickFix) یا سایر صفحات فیشینگ تغییر دهد. با این حال، بررسی نمونه‌های موردنظر نشان داد که کد HTML میزبانی‌شده روی npm در این موارد، حمله کلیک‌فیکس را اجرا نمی‌کند.
باقی ماندن محتوای مخرب روی میرورها
OX Security هشدار می‌دهد که پکیج‌های npm حتی پس از حذف از رجیستری رسمی npm، ممکن است همچنان روی میرورها باقی بمانند. بنابراین، حذف یک پکیج از رجیستری اصلی لزوماً به معنای حذف فوری نسخه‌های میرورشده آن نیست. در چنین شرایطی، صفحات فیشینگ و سایر محتوای مخرب می‌توانند برای مدتی از طریق میرورها در دسترس باقی بمانند.
پژوهشگران OX Security در جمع‌بندی تحقیقات خود تأکید می‌کنند که مهاجمان به‌طور مداوم روش‌های تازه‌ای برای سوءاستفاده از زیرساخت‌های معتبر به کار می‌گیرند. این زیرساخت‌ها تنها برای انتشار بدافزار استفاده نمی‌شوند و مهاجمان می‌توانند از آن‌ها برای ذخیره پیلودها و داده‌های خود نیز استفاده کنند.
پژوهشگران توصیه می‌کنند درخواست‌های مستقیم برای فایل‌های HTML از دامنه‌های میرور npm با دقت بیشتری بررسی شوند، زیرا چنین درخواست‌هایی می‌توانند نشانه‌ای از فعالیت مشکوک باشند.
