超过1200个NPM包被滥用于挖掘密币

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

研究人员发现了针对 NPM JavaScript 包仓库的大规模密币挖掘活动。

牵涉其中的软件供应链威胁行动者被称为“CuteBoi”，它利用的是1000多个不同用户账户自动发布的1283个恶意模块。研究人员指出，攻击者利用自动化方式，其中包括绕过NPM 2FA 的能力。目前该程序包集群似乎是攻击者的实验组成部分。

据悉，所有已发布程序包利用了与已有程序包 named eazyminer近似相同的源代码，通过使用web服务器上不再使用的资源挖掘门罗币。研究人员指出，“从 eazyminer 中复制的代码包括可从另外一个程序触发的挖矿机功能而不是单独的工具。攻击者并未修改这个代码特性，因此它不会在安装时运行。”

如今年早些时候的RED-LILI案例中观测到的，这些程序包是通过自动化技术发布的，可使威胁行动者破解双因素认证防护措施。然而，虽然前者涉及设立自定义服务器以及使用组合工具如 Selenium 和 Interactsh 从程序上创建NPM用户账户并破解2FA，但CuteBoi依赖的是名为mail.tm的一次性邮件服务。

该免费平台还提供 REST API，“可使程序打开一次性邮箱并通过一个简单的API调用即可阅读发送给用户的邮件”，从而导致威胁行动者在创建用户账户时规避2FA问题。

这起供应链攻击事件和另外一起和NPM相关的大规模软件供应链事件 “IconBurst” 类似。后者从下游移动应用和网站中嵌入的表格中收集敏感信息。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

原文链接

https://thehackernews.com/2022/07/over-1200-npm-packages-found-involved.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~