關(guān)鍵詞

惡意軟件

安全公司 Tenable Research 披露，一個(gè)名為 “ambar-src” 的惡意 npm 包在被下架前已累計(jì)約 5 萬次下載，針對 Windows、Linux 與 macOS 開發(fā)者發(fā)起跨平臺攻擊。該包利用典型的 typosquatting（拼寫劫持）手法，偽裝成下載量超千萬的熱門包 ember-source，誘導(dǎo)開發(fā)者誤裝。

攻擊者于 2 月 13 日先發(fā)布無害版本建立“信譽(yù)”，在積累近 3 萬次下載后，于 2 月 16 日更新植入惡意代碼。其核心利用 npm 的 preinstall 腳本機(jī)制——只要執(zhí)行npm install ambar-src，惡意載荷即被觸發(fā)，開發(fā)者甚至無需手動(dòng)調(diào)用代碼。

不同系統(tǒng)對應(yīng)不同攻擊鏈：Windows 會(huì)下載并執(zhí)行名為 msinit.exe 的文件，加載加密 shellcode；Linux 拉取 ELF 二進(jìn)制“osa”，被識別為 Golang 反向 shell“reverse_ssh”客戶端；macOS 則通過 osascript 下載 500KB 的 JavaScript 載荷，被確認(rèn)是來自 Apfell 的組件，可竊取 Chrome 數(shù)據(jù)并彈出偽造密碼框。初始載荷從 x-ya.ru 獲取，后續(xù) C2 通信則通過 function.yandexcloud.ru 中繼，借助正常云服務(wù)流量掩護(hù)。

研究人員指出，該樣本是此前“eslint-verify-plugin”攻擊活動(dòng)的升級版，加入十六進(jìn)制混淆與代碼偽裝技術(shù)，隱蔽性更強(qiáng)。雖然 npm 在惡意版本上線不到 5 小時(shí)內(nèi)將其移除，但已感染主機(jī)應(yīng)被視為“完全失陷”。僅卸載包遠(yuǎn)遠(yuǎn)不夠，必須在干凈設(shè)備上輪換所有密鑰與憑證，并排查持久化后門。

這一事件再次說明，供應(yīng)鏈攻擊正在向更精細(xì)化與長期化演進(jìn)。對開發(fā)團(tuán)隊(duì)而言，鎖定依賴版本、啟用軟件源完整性校驗(yàn)與內(nèi)部鏡像審核機(jī)制，已不再是可選項(xiàng)，而是基本防線。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！