Npm 恶意包试图窃取 Discord 敏感信息和浏览器文件

 聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

npm安全团队从 npm 门户网站中删除了一个恶意 JavaScript 库。该库的目的是为了从受感染用户浏览器和 Discord 应用中窃取敏感文件。

这个恶意包是一个 JavaScript 库，名为“fallguys”，声称为“Fall Guys:Ultimate Knockout”游戏API 提供接口。

然而，开发人员下载该库并集成到项目后发现，当受感染设备运行代码时，该恶意包也会执行。

Npm 安全团队指出，该恶意代码试图访问五个本地文件，读取其中的内容并将数据发布在 Discord 信道内.

该恶意数据包试图读取的五个文件包括：

• /AppData/Local/Google/Chrome/User\x20Data/Default/Local\x20Storage/leveldb

• /AppData/Roaming/Opera\x20Software/Opera\x20Stable/Local\x20Storage/leveldb

• /AppData/Local/Yandex/YandexBrowser/User\x20Data/Default/Local\x20Storage/leveldb

• /AppData/Local/BraveSoftware/Brave-Browser/User\x20Data/Default/Local\x20Storage/leveldb

• /AppData/Roaming/discord/Local\x20Storage/leveldb

其中，前四个文件是专用于浏览器如Chrome、Opera、Yandex Browser 和Brave 的 LevelDB 数据库。这些文件通常会存储和用户浏览历史相关的信息。最后一个文件类似于 LevelDB 数据库，但用于 Discord Windows 客户端。后者同样在用户加入的信道中存储信息以及其它具体某个信道的内容。

值得注意的是，这个恶意包并未从受感染开发人员的计算机中窃取其它敏感信息，如会话 cookie 或存储凭据的浏览器数据库。

该恶意包似乎在执行侦察、收集受害者数据的行为，并试图访问受感染开发人员正在访问的站点，之后通过更新该恶意包输出更多的针对性代码。

Npm 安全团队建议开发人员删除项目中的这些恶意包。该恶意包已在网站上存在两周的时间，下载次数近300次。

推荐阅读

刚刚GitHub 收购 npm，旨在提升开源软件供应链安全
微软发现窃取 UNIX 系统数据的恶意 npm 包

原文链接

https://www.zdnet.com/article/malicious-npm-package-caught-trying-to-steal-sensitive-discord-and-browser-files/

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 www.codesafe.cn”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

    觉得不错，就点个 “在看” 吧~