據(jù)微軟報告，Next.js開發(fā)者再次成為黑客攻擊目標(biāo)，攻擊者通過偽裝成合法項目的惡意代碼庫進(jìn)行攻擊，其中部分代碼庫已被確認(rèn)與實際入侵事件直接相關(guān)。

攻擊手段和執(zhí)行路徑

微軟表示，這些惡意代碼庫采用多種方法在開發(fā)者機(jī)器上執(zhí)行，但最終都指向同一個結(jié)果：在內(nèi)存中執(zhí)行惡意JavaScript代碼。

研究團(tuán)隊識別出的所有執(zhí)行路徑都被設(shè)計為在Next.js開發(fā)者的正常工作流程中觸發(fā)。例如，其中一種攻擊方式濫用Visual Studio Code的工作區(qū)自動化功能，一旦開發(fā)者打開并信任項目，就會立即加載惡意文件。

在這些情況下，攻擊變種通常會從Vercel檢索JavaScript加載器，使用Node.js執(zhí)行，然后開始向攻擊者控制的命令與控制（C2）基礎(chǔ)設(shè)施發(fā)送信標(biāo)以獲取進(jìn)一步指令。

其他攻擊路徑包括誘導(dǎo)目標(biāo)開發(fā)者直接運(yùn)行項目的開發(fā)服務(wù)器或通過npm run dev命令運(yùn)行，此時嵌入在木馬化資產(chǎn)或修改庫（如被篡改的前端文件）中的惡意邏輯會檢索并執(zhí)行加載器。還有一些攻擊依賴于受害者啟動應(yīng)用程序后端，在服務(wù)器初始化或模塊導(dǎo)入過程中觸發(fā)隱藏在后端模塊中的預(yù)加載惡意邏輯。

惡意載荷的執(zhí)行機(jī)制

無論采用哪種攻擊路徑，最終結(jié)果都是注冊受影響的設(shè)備，運(yùn)行JavaScript加載器，并與攻擊者的C2基礎(chǔ)設(shè)施建立連接。

通過初始階段移交的獨(dú)立C2 IP地址和API集，控制器會檢索包含JavaScript任務(wù)的消息數(shù)組，并使用獨(dú)立的Node解釋器在內(nèi)存中執(zhí)行這些任務(wù)，以減少磁盤上的攻擊痕跡。

這一過程還允許進(jìn)行數(shù)據(jù)竊取。在開發(fā)者機(jī)器上，這可能包括從個人數(shù)據(jù)到源代碼、機(jī)密信息或云資源的任何內(nèi)容。

微軟表示，該控制器能夠輪換其標(biāo)識符以防止反惡意軟件解決方案和人類防御者識別可疑活動模式，同時接收攻擊者的指令。

控制器還會遵循終止開關(guān)或關(guān)閉命令，跟蹤其生成的進(jìn)程以防止受害者因性能問題而產(chǎn)生懷疑，并報告錯誤遙測數(shù)據(jù)，允許攻擊者調(diào)整失敗的命令。

偽裝成招聘流程的攻擊策略

這些項目由犯罪分子以招聘流程的名義傳播，要求開發(fā)者完成與求職申請相關(guān)的任務(wù)。

雖然很難想象目標(biāo)開發(fā)者會在企業(yè)機(jī)器上完成這些面試評估任務(wù)，但微軟警告稱，這樣做可能會使組織面臨更大范圍的入侵風(fēng)險。

微軟補(bǔ)充道："關(guān)鍵要點是，防御者應(yīng)將開發(fā)者工作流視為主要攻擊面，優(yōu)先關(guān)注異常的Node執(zhí)行、意外的出站連接，以及來自開發(fā)機(jī)器的后續(xù)發(fā)現(xiàn)或上傳行為的可見性。"

Q&A

Q1：這次攻擊主要針對什么群體？

A：這次攻擊主要針對Next.js開發(fā)者。攻擊者通過創(chuàng)建偽裝成合法項目的惡意代碼庫來誘騙開發(fā)者，所有的執(zhí)行路徑都被設(shè)計為在Next.js開發(fā)者的正常工作流程中觸發(fā)。

Q2：惡意代碼是如何在開發(fā)者機(jī)器上執(zhí)行的？

A：攻擊者使用多種方法，包括濫用Visual Studio Code工作區(qū)自動化、誘導(dǎo)開發(fā)者運(yùn)行npm run dev命令，或啟動應(yīng)用程序后端。無論哪種方式，最終都會在內(nèi)存中執(zhí)行惡意JavaScript代碼并與攻擊者的C2基礎(chǔ)設(shè)施建立連接。

Q3：攻擊者如何誘騙開發(fā)者下載這些惡意項目？

A：攻擊者將這些惡意項目偽裝成招聘流程的一部分，聲稱是面試評估任務(wù)，要求開發(fā)者完成與求職申請相關(guān)的工作，從而誘騙開發(fā)者下載并運(yùn)行惡意代碼。