LottieFiles là một nền tảng quy trình làm việc hoạt hình cho phép các nhà thiết kế tạo, chỉnh sửa và chia sẻ hoạt ảnh ở định dạng tệp hoạt ảnh dựa trên JSON có tên là Lottie. Đây cũng là nhà phát triển đứng sau gói npm có tên lottie-player, cho phép nhúng và phát hoạt ảnh Lottie trên các trang web.
Theo công ty, một số lượng lớn người dùng sử dụng thư viện thông qua CDN của bên thứ ba mà không có phiên bản ghim đã tự động được phân phát phiên bản bị xâm phạm dưới dạng bản phát hành mới nhất.
Cuộc tấn công này đã kích hoạt việc tự động phân phối các phiên bản lottie-player độc hại đến những người dùng tải thư viện thông qua các mạng phân phối nội dung của bên thứ ba. “Các phiên bản 2.0.5, 2.0.6, 2.0.7 đã được đăng tải trực tiếp lên https://npmjs.com trong vòng một giờ, sử dụng một mã thông báo truy cập bị xâm nhập từ một nhà phát triển có quyền truy cập cần thiết”, LottieFiles cho biết. Các phiên bản độc hại của gói chứa mã nhắc người dùng kết nối ví tiền điện tử của họ nhằm mục đích rút cạn tiền trong ví của họ. Công ty khuyến cáo người dùng đang sử dụng phiên bản 2.0.5, 2.0.6 và 2.0.7 cần ngay lập tức cập nhật lên phiên bản 2.0.8.
Ngoài việc phát hành bản sửa lỗi, ba phiên bản giả mạo đã bị hủy xuất bản khỏi kho lưu trữ gói npm. LottieFiles cho biết họ cũng đã kích hoạt kế hoạch ứng phó sự cố của mình và thuê một nhóm ứng phó sự cố bên ngoài để hỗ trợ điều tra.
Ngọc Hân
Nguồn: Tạp chí ATTT
