Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.06.10

Aktivt NPM angrep: 16 React Native-pakker i GlueStack ble kompromittert over natten.

---

Aktivt NPM angrep: 16 React Native-pakker i GlueStack ble kompromittert over natten

Den 6. juni 2025 ble et forsyningskjedeangrep oppdaget mot React Native relaterte pakker i "@react-native-aria" økosystemet. Ondsinnet kode ble lagt til i blant annet versjon 0.2.10 av "@react-native-aria/focus", og spredte seg raskt til femten andre pakker med over én million samlet ukentlige nedlastninger. Koden installerer en Remote Access Trojan (RAT) og forsøker vedvarende infeksjon via manipulering av path ("%LOCALAPPDATA%\Programs\Python\Python3127") og kommuniserer utgående trafikk til IP-ene 136.0.9[.]8 og 85.239.62[.]36.

De involverte pakkene og deres versjoner er følgende:
react-native-aria/button 0.2.11
react-native-aria/checkbox 0.2.11
react-native-aria/combobox 0.2.10
react-native-aria/disclosure 0.2.9
react-native-aria/focus 0.2.10
react-native-aria/interactions 0.2.17
react-native-aria/listbox 0.2.10
react-native-aria/menu 0.2.16
react-native-aria/overlays 0.3.16
react-native-aria/radio 0.2.14
react-native-aria/switch 0.2.5
react-native-aria/toggle 0.2.12
react-native-aria/utils 0.2.13
gluestack-ui/utils 0.1.17
react-native-aria/separator 0.2.7
react-native-aria/slider 0.2.13

Anbefaling:

Vi anbefaler å undersøke om de påvirkede pakkene er installert i dine prosjekter gjennom lokale moduler og package-lock.json. Man bør også slette potensielt persistente backdoor filer i Python-path på Windows, da man kan være kompromitert om disse versjonene er i bruk. I tillegg til at man bør oppdatere eller erstatte påvirkede pakker med sikre versjoner eller alternative moduler.

Referanser:

https://www.aikido.dev/blog/supply-chain-attack-on-react-native-aria-ecosystem https://www.bleepingcomputer.com/news/security/supply-chain-attack-hits-gluestack-npm-packages-with-960k-weekly-downloads/