Socket 的威胁研究团队最近发现了针对 Roblox 开发者社区的新攻击。威胁行为者分发了五个恶意 npm 软件包，包括 node-dlls、ro.dll 和 rolimons-api，这些软件包伪装成平台上开发者广泛使用的合法工具。这次攻击的目的是让开发人员感染 Skuld 信息窃取程序和 Blank Grabber 恶意软件，这些软件包在被删除前已被下载了 320 多次。
攻击者依靠错别字，使用具有欺骗性的软件包名称来冒充可信软件包。例如，他们模仿流行的 node-dll 软件包，发布了一个外观相似的 node-dlls 软件包，而类似的 rolimons-api 软件包则是针对 Roblox 数据集成的著名 API。根据 Socket 的报告，“恶意 npm 软件包包含经过混淆的 JavaScript 代码，旨在从外部源下载和执行恶意可执行文件”。这种混淆使攻击者得以隐藏其恶意意图，并利用毫无戒心的开发人员对熟悉名称的信任。
一旦安装，代码就会执行一系列命令，下载和部署托管在 GitHub 上的恶意软件，而 GitHub 是开发者的常用平台，可以帮助恶意软件绕过安全过滤器。
用 Go 语言编写的 Skuld 信息窃取程序以 Roblox 开发人员的系统为目标，提取敏感信息。Socket 报告说，Skuld “采用了逃避调试、禁用防病毒保护和提升权限的技术，从而可以捕获凭证、cookie 和财务信息”。第二款恶意软件 Blank Grabber 是一款基于 Python 的工具，主要用于窃取 Discord 令牌、浏览器数据甚至加密货币钱包信息。它还包括一个图形用户界面生成器，允许威胁行为者定制其功能，并有可能逃避检测。
为了传递窃取的数据，该恶意软件使用了 Discord webhooks 和 Telegram，这使得检测工作变得更加复杂，因为这两个平台都是可信平台。Socket 的分析强调，“如果平台开发者出于合法目的使用 Discord 和 Telegram 进行 C2 通信，会使检测工作复杂化”。通过利用这些渠道，攻击者可以避免触发传统的安全警报，从而提高攻击的有效性。
Socket 建议开发人员采取积极主动的安全措施，定期监控 npm 软件包是否有被篡改的迹象，并仔细核实软件包名称以避免错字抢注攻击。用他们的话说，“威胁行为者利用信任和人为错误，模仿受信任的软件包，将恶意代码引入应用程序”。
1.本站内容仅供参考，不作为任何法律依据。用户在使用本站内容时，应自行判断其真实性、准确性和完整性，并承担相应风险。
2.本站部分内容来源于互联网，仅用于交流学习研究知识，若侵犯了您的合法权益，请及时邮件或站内私信与本站联系，我们将尽快予以处理。
3.本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权
4.根据《计算机软件保护条例》第十七条规定“为了学习和研究软件内含的设计思想和原理，通过安装、显示、传输或者存储软件等方式使用软件的，可以不经软件著作权人许可，不向其支付报酬。”您需知晓本站所有内容资源均来源于网络，仅供用户交流学习与研究使用，版权归属原版权方所有，版权争议与本站无关，用户本人下载后不能用作商业或非法用途，需在24个小时之内从您的电脑中彻底删除上述内容，否则后果均由用户承担责任；如果您访问和下载此文件，表示您同意只将此文件用于参考、学习而非其他用途，否则一切后果请您自行承担，如果您喜欢该程序，请支持正版软件，购买注册，得到更好的正版服务。
5.本站是非经营性个人站点，所有软件信息均来自网络，所有资源仅供学习参考研究目的，并不贩卖软件，不存在任何商业目的及用途
暂无评论内容