NPM 供应链攻击影响数百个网站和应用

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

研究人员发现，2021年12月攻击者利用数十个包括混淆 JavaScript 代码的恶意 NPM 模块攻陷了数百个下游桌面应用和网站，发动NPM供应链攻击。

ReversingLabs 公司的研究人员发现，这起攻击活动（被称为“IconBurst”）的幕后威胁行动者使用typosquatting 感染那些寻非常热门程序包如 umbrellajs 和 ionic.io NPM模块的开发人员。

如果被类似的模块命名所愚弄，这些开发人员就会把恶意程序包加载到应用或网站中，导致数据被窃取。例如，该攻击中利用了恶意NPM程序包 icon-package 的下载量达到1.7万次，旨在将序列化形式的数据提取到多个受攻击者控制的域名中。

研究人员指出，IconBurst“依赖的是typo-squatting（攻击者通过公有库提供命名类似于合法程序包或是常见合法程序包的错误拼写的程序包），此外，用于提取数据的域名之间的相似之处表明，这起攻击活动中的多个模块受同一个行动者控制”。

某些恶意模块仍可下载

虽然研究人员在2022年7月1日将情况告知 NPM 安全团队，但目前仍然可从NPM注册表中下载某些 IconBurst 恶意程序包。

研究人员指出，“虽然一些已提到的程序包已从NPM删除，但在本报告撰写期间多数仍可下载。”

虽然研究人员可编译IconBurst 供应链攻击中使用的恶意程序包清单，但其影响仍有待确定，因为无法了解从2021年12月起攻击者到底从应用和网页中窃取了多少数据和凭据。目前的唯一指标是每个恶意 NPM 模块被安装的次数，研究人员目前掌握的数据只是开始。

研究人员指出，“虽然这起攻击的完整影响范围尚不清楚，但我们发现的恶意程序包可能已用于至少数百款下游的移动和桌面应用程序和网站。NPM模块中绑定的恶意代码在数量未知的移动和桌面应用程序和网页中运行，收割数量未知的用户数据。目前团队识别出的NPM模块的下载总量已超过2.7万次。”

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

原文链接

https://www.bleepingcomputer.com/news/security/npm-supply-chain-attack-impacts-hundreds-of-websites-and-apps/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~