长达一年的供应链攻击：恶意 NPM 软件包破坏加密货币钱包

NPM Supply Chain

Checkmarx 安全研究团队发现了一个长达一年的供应链攻击，其中涉及恶意 NPM 软件包 @0xengine/xmlrpc。从 2023 年 10 月的一次合法 XML-RPC 实施演变成了一次复杂的网络威胁，将加密货币挖掘与数据窃取结合在了一起。这次攻击凸显了软件供应链中持续存在的漏洞。

该软件包最初是作为 “Node.js 的纯 JavaScript XML-RPC 服务器和客户端实现 ”出现的，但在 1.3.4 版本之后发生了恶意演变。“报告指出：“这种一致的更新模式有助于保持合法维护的外观，同时掩盖恶意功能。”在其生命周期中，该软件包共收到 16 次更新，最近一次更新发布于 2024 年 10 月。

恶意代码隐藏在 validator.js 文件中，只有在满足特定条件时才会激活。恶意软件模仿合法功能的能力使其在 NPM 生态系统中逃避检测的时间异常之长。

图片[1]-长达一年的供应链攻击：恶意 NPM 软件包破坏加密货币钱包 - 玄机博客-玄机博客
恶意软件包“@0xengine/xmlrpc”

攻击者使用了两种分发方法：

直接安装 NPM： 开发人员直接下载 @0xengine/xmlrpc。
合法软件仓库中的依赖关系： GitHub 项目 “yawpp ”伪装成 WordPress 发布工具，同时暗中安装恶意软件包。

研究人员解释说：“这种策略利用了开发人员对软件包依赖关系的信任。”通过将软件包作为依赖项嵌入到一个看起来合法的项目中，攻击者在保持隐蔽性的同时扩大了其影响范围。

一旦触发，恶意软件就会发起多阶段攻击：

数据盗窃： 通过 Dropbox 和 file.io API，每隔 12 小时收集和渗透 SSH 密钥、bash 历史记录和环境变量等敏感信息。
加密货币挖掘： 攻击利用 XMRig 挖取 Monero，目标是 Linux 系统。截至 2024 年 10 月，攻击者的 Monero 钱包通过 hashvault.pro 矿池连接了 68 个活跃矿工。

该恶意软件采用了复杂的规避技术，在检测到用户活动时停止操作，并避开安全监控工具。

为了确保长期控制，该恶意软件将自己伪装成一个合法的系统服务 “Xsession.auth”，配置为在系统启动时自动启动。这种持久机制使采矿操作在重启后能够无缝恢复。每日签到机制也使攻击者能够更新配置和接收新命令。

这一活动凸显了恶意软件包和被破解的合法软件包的双重威胁。正如研究人员所警告的，“软件包的使用寿命和持续维护历史并不能保证其安全性”。开发人员必须采取强有力的安全措施，包括

彻底审查所有开源依赖项。
定期审核软件包更新。
使用监控工具检测异常行为。

玄机博客

1.本站内容仅供参考，不作为任何法律依据。用户在使用本站内容时，应自行判断其真实性、准确性和完整性，并承担相应风险。

2.本站部分内容来源于互联网，仅用于交流学习研究知识，若侵犯了您的合法权益，请及时邮件或站内私信与本站联系，我们将尽快予以处理。

3.本文采用知识共享署名4.0国际许可协议 [BY-NC-SA] 进行授权

4.根据《计算机软件保护条例》第十七条规定“为了学习和研究软件内含的设计思想和原理，通过安装、显示、传输或者存储软件等方式使用软件的，可以不经软件著作权人许可，不向其支付报酬。”您需知晓本站所有内容资源均来源于网络，仅供用户交流学习与研究使用，版权归属原版权方所有，版权争议与本站无关，用户本人下载后不能用作商业或非法用途，需在24个小时之内从您的电脑中彻底删除上述内容，否则后果均由用户承担责任；如果您访问和下载此文件，表示您同意只将此文件用于参考、学习而非其他用途，否则一切后果请您自行承担，如果您喜欢该程序，请支持正版软件，购买注册，得到更好的正版服务。