npm balíček node-ipc přepisoval uživatelům v Rusku a Bělorusku soubory srdíčky

npm balíček node-ipc přepisoval uživatelům v Rusku a Bělorusku soubory srdíčky (CVE-2022-23812). Aktuální verze node-ipc natáhne modul peacenotwar.

18.3.2022 16:11 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

Pokud tam ten malware přidal sám autor node-ipc (či o tom věděl), měl by být tento balíček z npm smazán či alespoň označen jako nedůvěryhodný...

[Max]

Podle toho commitu a diskuse to udělal autor.
Zdar Max

[billgates]

Ostava len dufat, ze ten smradlavy smejd pojde brucat: American NGO affected by your recklessness

[Petr Tomášek]

to není malware, to je benware, hahaha.

nechápu, proč ta věc má vůbec CVE...

[vlk]

nainstaloval by si si to dobrovolne a pouzival na svojom pocitaci ?

[_]

Aaa dalsi ruskej svab...

[Jendа]

Protože nějaké ipgeolocation.io se určitě nemůže mýlit nebo schválně vracet špatný výsledek a přepsat tak disk komukoli.

[_]

tak jiste ze muze, i rizena strela se muze mylit

valka neni pro zbabelce

[Nejhorší je aktivní blbec]

To není, akorát přitahuje aktivní blbce co napáchají víc škod než užitku.

[Jendа]

(mně to dává Aš, Karlovarský kraj, i když je to UPC v Praze. To jsou skoro Karlovy Vary, tedy ruské město.)

Další hlupák s černobílým viděním světa, který hned vidí rusofila ve člověku co si dovolí nějak kritizovat druhou stranu? Válka na Ukrajině je hnus, to je snad jasné, nicméně to co udělal autor node-ipc je úmyslné přidání destruktivního malware do svého oficiálního balíku. Za něco takového by s okamžitou platností měl dostat na npm ban a jeho balík by měl být smazán.

[Fms]

nebud hysterka

jakkoliv skodit rusku je nyni dobre, a netreba hledet uzkoprse na nejaka pravidla

[vlk]

horsi nez rus je anti-rus

[_]

vam svabum to tak pripada

[Jendа]

jakkoliv skodit rusku je nyni dobre

Ale zase vojáky tam nepošleme, protože by pak byla větší pravděpodobnost 3. světové. Takže ne „jakkoliv“, ale opatrně a diplomaticky.

[_]

ja doufam, ze posleme

[vlk]

si dalsi z magorov, co si praju tretiu svetovu vojnu?

[_]

ne valku si nikdo nepreje

ale radeji valku, nez expanzi ruska a pad zapadu

zbabelci a zradci tveho formatu zpusobi jen to, ze ta valka bude mnohem horsi. tak jak to bylo s wwii

[vlk]

putinovi, ked budu dochadzat sily, tak je dost mozne ze siahne po jadrovych zbraniach a ma ich dost na znicenie polky sveta a amerika na znicenie druhej, takze potom je s nami amen! putin sa tymto vyhraza od zaciatku konfliktu, v takom pripade ti nepomoze ziadna puska ani nepriestrelna vesta...

dalsia vec, zapad europy je ovela zdrzanlivejsi nez vychodne krajiny, myslim tym PL, CZ a SK, a nasi politici az priliz rypu do osieho hniezda, lenze maju len velke huby a prdia na nazory ludi a len ovplyvnuju media aby si obhajili svoje kroky.

ver tomu, ze ked dojde k rozsireniu konfliktu tak na to doplatime my, hlavne PL a SK a v zapati CZ, pretoze najvacsie boje budu prave tu! neviem odkial zo slovenska je SKK, ja som z vychodu a my na vychode SK sa toho konfliktu bojime najviac, pretoze sme v prvej linii... nevidim v nazoroch "proruskej" SKK obhajovanie putinovych krokoch, len vidim podobne obavy...

mne sa nezda zeby putinovi v tomto konflikte islo o napadnutie zapadu europy (vratane nas) ale my mu tych prilezitosti davame dost a taky ako ty medzi nich patria, takze si svoje hrde nazory strc za klobuk a sklapni uz!

[_]

putinovi, ked budu dochadzat sily, tak je dost mozne ze siahne po jadrovych zbraniach a ma ich dost na znicenie polky sveta

jsi hysterka - ne nema jich na zniceni pulky sveta - i kdyby mel vsechny, o kterych rika, ze je ma (nema - velka cast bude virtualni stejne jako jeho slavne konvencni zbrane) a i kdyby vsechny fungovaly (ha, ha - tam to bude s udrzbou jeste horsi nez u konvencnich zbrani - bordel tam neni videt), i kdyby vsechny mel a funkcni, tak rozhodne menuze znicit "pulku sveta"

co si predstavujes, ze se stane, kdyz treba na prahu spadne atomovka? bum, konec prahy? ne - bum a zmizi par ctvrti, a o zbytek se bude bojovat konvencne, tedy zase budes muset strilet, a to se ti ta puska a neprustrelna vesta bude sakra hodit

neviem odkial zo slovenska je SKK, ja som z vychodu a my na vychode SK sa toho konfliktu bojime najviac, pretoze sme v prvej linii...

¨

Tak v tom případě bych se hodně staral, aby Rusko na Ukrajině prohrálo. Nebo myslíš, že když ho nezastavíme tam, tak nepůjde dál? Možná ne hned, ale budeš žít pár let v očekávání, že možná už zítra. A pak to přijde.

Tady v Praze nejen, že podporujeme Ukrajince jak se dá, ale nakupujeme zbraně a trénujeme střelbu a další branné dovednosti. Včetně CO v případě jaderného útoku.

[vlk]

proste silou mocou tu vojnu chces, prajem ti to! niesi o nic lepsi nez putin, nema zmysel sa s tebou o tom bavit

[_]

Ja ne

ale ty ji bud chces - nebo to spis vypada, ze chces aby putin bez valky rozsiril sve uzemi

nejsi ty nakonec ten vlk se zaparenou prdeli?

[+]

Máš pravdu. Bavit se s tebou fakt nemá smysl. Co Rusové dělají na Ukrajině za zvěrstva ti nevadí, hlavně že to nedělají tobě. Ve strachu doufáš, že když necháme Putina sežrat Ukrajinu, tak on pak nepůjde dál. Blbost. Čím míň se mu postavíme teď, tím víc si pak dovolí. Jenže to se zbabělcům vysvětlovat nedá.

[Jendа]

Já myslím, že spíš doufá (já trochu taky, co mi taky zbývá), že se Ukrajina ubrání i bez přímého zapojení dalších zemí do války.

[Mayhem]

Pak ma svet verit opensource

[Petr Tomášek]

opensource boj proti rasPutinovským zmrdům, nu což...

[Jendа]

Já bohužel historii Ruska moc nezvládám, ale co je takhle narážka? Rasputin byl nějaký záporák se kterým teď můžeme srovnávat Putina? Já myslel, že to byl nějaký weirdo a možná dělal i nějakou černotu, ale určitě ne tohoto rozsahu.

[_]

byl to zaporak, ale spis takovy zakulisni

[PetebLazar]

Byl považován za velmi vlivnou osobu, jež bylo vše ze strany cara/carevny z vděčnosti prakticky vše prominuto (údajně vyléčil následníka). Pokud by byl u carského dvora nevýznamnou osobou bez vlivu, asi by se na jeho antetátu osobně přímo nepodíleli zástupci nejvyšší šlechty (velkoknížata, knížata, ...).

[👻]

hele videjko :D :D se jakoby snaž soustředit na lyrics tam to všecko je :D :D :D ;D

[JZD]

Boží, Boney M byl prorok.

[_]

bude to tezke, bohuzel tam stale prispiva hodne rusu, dokonce i do kernelu

je potreba s trim neco udelat

[mudrc]

Já jsem si na protest odinstaloval Kaspersky protože je ruský. Sice mám teď zavirovaný pc ale co bych pro Ukrajinu neudělal.

[_]

1) fakt potrebujes antivirak, abys nemel zavirovany PC - to jsi slusna lama...

2) smirovani ruskou vladou ti zrejme nevadi, tu podporujes :)

[Linux rules!]

Nemáš používat Windows.

Já myslím, že tento hlupák by si zvládl zavirovat i GNU/Linux.

[plostenka]

Klavesnicovy hrdina uspesne napadl data civilistu.

[Nezapomeň na 1968]

Jo. Včetně těch, kteří v Rusku protestují proti invazi do Ukrajiny. Hrdina se jmenuje Brandon Nozaki Miller.

[_]

vsech pet procent...

[Nezapomeň na 1968]

5% ruské populace je 70% té naší. 7 milionů lidí. To není úplně málo. Někde jsem dokonce četla, že až 15% Ruské populace nesouhlasí s invazí do Ukrajiny. To by byly populačně takové dvě ČR.

[_]

absolutni cisla jsou v tomto pripade dost irelevantni

[Nezapomeň na 1968]

Tak to se mýlíš. Záleží na tom, co budou ta absolutní čísla dělat. Třeba na oddělání Putina ti stačí hrstka schopných lidí a pár informátorů.

[_]

tak nam to predved

[Nezapomeň na 1968]

Tady jich stačilo 12.

[_]

toa je bobuzel dost jina liga

[Tom]

i všem dalším zemím, které vojensky napadli jinou? Bylo by to fér - ale to vám říkám, bude to fuška. A pokud ne, tak je to jen trapná hysterická rusofobie.

[Alwen]

Co je to zas za rusácký kecy? Která další země od konce druhé světové napadla evropskou zemi? Já si tedy pamatuji přesně jednu - Srbsko. A podle toho také dopadlo.

[666]

aha, takze napad se muzou jenom neevropske zeme?

[_]

co se me tyka, tak ano

[billgates]

Vacsina ludi na abicku sere na nejakych hnedych ludi. Treba sa zmierit s tym, ze su to proste odporni rasisticky fasouni, ktori sa len potrebuju citit ako sucast davu a najst si spolocneho nepriatela.

Jebat na nejake principy. Rus zlyyyyy! Reeeeeeeeeeeeeeeeeeeeeeee!

[_]

kazdeho normalniho cloveka zajima vlastni rodina vic nez sousedi, vlastni narod a kultura vic nez ta cizi, pritel vic nez nepřítel

kdo rika opak, je bud pozer nebo vysinuty asocial

[666]

hezky po bolsevicku
Aneb: "kazdeho normalniho cloveka..."

[_]

ne, po psychiatricku

[nekdo]

Mozna si nekdo z vas vzpomene na pripad balicku "left-pad", ktery zpusobil jeste vetsi problem. Jeho autor ho smazal v afektu, aby se pomstil. Podobne jako autor "node-ipc" pridal do sveho modulu malware. Duvera se buduje dlouho ale lze ji ztratit velmi kratce. Je smutne, jakou hlouposti v obou pripadech.

O tom, jak absence maleho modulu "rozbila" internet:

• https://www.theregister.com/2016/03/23/npm_left_pad_chaos/
• https://medium.com/@mproberts/a-discussion-about-the-breaking-of-the-internet-3d4d2a83aa4d
• https://blog.npmjs.org/post/141577284765/kik-left-pad-and-npm

Autor "node-ipc" nakonec musel uzamknout svuj projekt pro diskuse s verejnosti, cimz jej prakticky zabil:

• https://github.com/RIAEvangelist/node-ipc/pull/239
• https://github.com/RIAEvangelist/node-ipc/issues/530

Pokud inkriminovane moduly nejsou pouzivany ve vasem projektu, nasledujici prikazy nevypisi nic:

npm ls --json peacenotwar | pnpx jq ".dependencies | select(.)"
npm ls --json node-ipc | pnpx jq ".dependencies | select(.)"

Pokud moduly puvodnich autoru "left-pad" "node-ipc" nejsou pouzivany ve vasem projektu, nasledujici prikaz nevypise rovnez nic:

pnpx find-npm-by-author -A "Brandon Nozaki Mille" -R riaevangelist -A azer -R azer

[nekdo]

Pekne shrnuti s odkazy: https://www.theregister.com/2022/03/18/protestware_javascript_node_ipc/

[billgates]

Slashdot: Tech Casualties of Russia's War in Ukraine: Open Source and the Cloud?

[Jendа]

Tak, a máme tady drama

We are an American NGO based in Washington, D.C. that monitors human rights infringements by authoritarian regimes in Belarus, Russia and other post-Soviet states. Since our start in 2014, we have been in contact with over 2,500 whistleblowers that provided us with detailed reports on various kinds of abuse happening there.

Due to internet censorship there, one of the web services used to contact us securely was hosted on servers located inside Belarus. Normally, we backup the received content to an external server on 20th day of every month, as this is reasonable given the volume we usually get, but since the start of the invasion on February 24th, traffic to our web service has increased over fiftyfold. Our staff has been working round the clock to accomodate the influx and during one of their tasks, package containing node-ipc module was updated on a production server, which resulted in executing your code and wiping over 30,000 messages and files detailing war crimes commited in Ukraine by Russian army and government officials. Due to the way the files were stored on the server, we are not able to recover any data and it's most likely gone forever. For some of the senders, this might as well have been their last contact with the outside world, as many of them were front-line soldiers that could've been killed in action during the offensive.

Personally, me and my colleagues are absolutely devastated. All I can say that your little shenanigan did more damage to us than Putin or Lukashenka ever could. Profesionally, our counsel suggested filing criminal charges federally and it's likely we'll be proceeding this way.

[trekker.dk]

Teď tu byl #54