NPM仓库遭逾1.5万个垃圾邮件包的钓鱼攻击

 聚焦源代码安全，网罗国内外最新资讯！

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

攻击者利用超过1.5万个垃圾邮件程序包攻击NPM仓库，试图分发钓鱼链接。

本周二，Checkmarx 公司的研究员 Yehuda Gelb 发布报告称，“这些程序包是通过自动流程创建的，项目描述和自动生成的名称之间非常类似。这些攻击者使用推荐ID将受害者推荐到零售网站，从而从所赚取的佣金中牟利。”

攻击者在README.md 文件中包含钓鱼链接，通过包含该钓鱼链接的恶意包投毒注册表。2022年12月曾发生类似的攻击活动。攻击者通过虚假模块吸引受害者，将模块伪装成游戏秘籍和免费资源，一些包的名称为“free-tiktok-followers”、“free-xbox-codes” 和 “Instagram-followers-free”。

攻击者这样的目标是通过增加社交媒体粉丝的诱饵，诱骗用户下载这些程序包并点击钓鱼链接。研究人员解释称，“这种具有欺骗性的网页设计精良，而且在某些情况下甚至还包含虚假的聊天记录，展示用户已经获得所承诺的游戏秘籍或粉丝。”这些网站督促受害者填写调查问卷，以便为开展更多调查铺路，或者将受害者重定向到合法的电商门户如速卖通。

这些程序包据称是由多个用户账户在2023年2月20日至21日期间，通过脚本自动上传到npm的。另外，该脚本中还附加WordPress网站上已发布npm包的链接，声称可提供“家庭主题岛”游戏秘籍。攻击者通过selenium python 包与网站进行交互并进行必要的修改。

总体而言，自动化使攻击者在短时间内发布大量程序包，更不用说创建多个用户账户来隐藏攻击规模了。研究人员指出，“这说明攻击者的老练和决心，他们愿意投入大量资源实施这一攻击。”

这一研究成果再次展示了保护软件供应链所面临的挑战，因为攻击者持续通过“新型且意料之外的技术”不断演进。

---

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

原文链接：

https://thehackernews.com/2023/02/attackers-flood-npm-repository-with.html

题图：Pixabay License

转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~