搜索

[11643] 2017-08-09_又见古老的Typosquatting攻击：这次入侵了Npm窃取开发者身份凭证

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-08-09_又见古老的Typosquatting攻击：这次入侵了Npm窃取开发者身份凭证 又 见 古 老 的 T y p o s q u a t t i n g 攻 击 ： 这 次 入 侵 了 N p m 窃 取 开 发 者 身 份 凭 证 l i k i   F r e e B u f   2 0 1 7 - 0 8 - 0 9 有 些 攻 击 方 式 虽 然 听 起 来 很 幼 稚 ， 但 有 时 候 却 也 可 以 生 效 ， 比 如 t y p o s q u a t t i n g 攻 击 — — 我 们 上 次 看 到 这 种 攻 击 是 在 去 年 6 月 份 ， 这 本 身 也 是 种 很 古 老 的 攻 击 方 式 。 所 谓 的 所 谓 的 t y p o s q u a t t i n g ， 主 要 是 通 过 用 户 的 拼 写 错 误 诱 导 用 户 访 问 或 下 载 某 个 伪 装 成 合 法 工 具 的 恶 意 程 序 ， 主 要 是 通 过 用 户 的 拼 写 错 误 诱 导 用 户 访 问 或 下 载 某 个 伪 装 成 合 法 工 具 的 恶 意 程 序 — — 其 其 核 心 只 在 于 工 具 名 或 文 件 名 和 原 版 很 像 ， 比 如 核 心 只 在 于 工 具 名 或 文 件 名 和 原 版 很 像 ， 比 如 a p p 1 e . c o m ， 这 种 类 型 的 钓 鱼 就 是 ， 这 种 类 型 的 钓 鱼 就 是 t y p o s q u a t t i n g 。 最 近 。 最 近   n p m   就 遭 就 遭 遇 了 这 种 攻 击 。 遇 了 这 种 攻 击 。 有 人 在 有 人 在   n p m   上 传 了 不 少 恶 意 包 上 传 了 不 少 恶 意 包 n p m 的 C T O   C J   S i l v e r i o 在 博 客 上 发 表 了 一 篇 文 章 提 到 ： 7 月 1 9 日 - 3 1 日 期 间 ， 名 为 h a c k t a s k 的 账 户 发 动 了 t y p o s q u a t t i n g 攻 击 ， 此 账 户 发 布 了 一 系 列 p a c k a g e ， 名 称 和 n p m 中 比 较 流 行 的 p a c k a g e 类 似 。 这 其 实 就 是 t y p o s q u a t t i n g 攻 击 的 精 髓 。 而 上 面 提 到 的 n p m 其 实 是 n o d e . j s 的 p a c k a g e 管 理 工 具 。 开 发 人 员 会 封 装 一 些 常 用 功 能 的 代 码 发 布 到 N o d e . j s 上 ， 这 样 其 他 的 人 员 就 可 以 复 用 类 似 功 能 的 代 码 ， 而 不 必 重 新 造 轮 子 。 S i l v e r i o 在 博 客 中 说 ， 这 些 p a c k a g e 的 命 名 绝 对 是 故 意 、 恶 意 的 ， 目 的 就 是 为 了 欺 骗 用 户 ， 并 最 终 收 集 到 用 户 数 据 。 好 在 h a c k t a s k 发 布 的 所 有 p a c k a g e 都 已 经 从 n p m 移 除 。 安 全 研 究 人 员 暂 时 发 现 除 了 h a c k t a s k 之 外 ， n p m 中 还 没 有 其 它 同 类 t y p o s q u a t t i n g 攻 击 的 p a c k a g e 。 这 些 恶 意 的 p a c k a g e 和 下 载 数 显 示 如 下 ： b a b e l c l i :   4 2 c r o s s - e n v . j s :   4 3 c r o s s e n v :   6 7 9 d 3 . j s :   7 2 f a b r i c - j s :   4 6
f f m e p g :   4 4 g r u n t c l i :   6 7 h t t p - p r o x y . j s :   4 1 j q u e r y . j s :   1 3 6 m a r i a d b :   9 2 m o n g o s e :   1 9 6 m s s q l - n o d e :   4 6 m s s q l . j s :   4 8 m y s q l j s :   7 7 n o d e - f a b r i c :   8 7 n o d e - o p e n c v :   9 4 n o d e - o p e n s l :   4 0 n o d e - o p e n s s l :   2 9 n o d e - s q l i t e :   6 1 n o d e - t k i n t e r :   3 9 n o d e c a f f e :   4 0 n o d e f a b r i c :   4 4 n o d e f f m p e g :   3 9 n o d e m a i l e r - j s :   4 0 n o d e m a i l e r . j s :   3 9 n o d e m s s q l :   4 4 n o d e r e q u e s t :   4 0 n o d e s a s s :   6 6 n o d e s q l i t e :   4 5 o p e n c v . j s :   4 0 o p e n s s l . j s :   4 3 p r o x y . j s :   4 3 s h a d o w s o c k :   4 0 s m b :   4 0 s q l i t e . j s :   4 8 s q l i t e r :   4 5
s q l s e r v e r :   5 0 t k i n t e r :   4 5 对 于 此 事 ， N o d e . j s 社 区 建 议 ： 如 果 你 已 经 下 载 并 已 经 安 装 了 上 面 提 到 的 这 些 p a c k a g e 的 话 ， 你 应 该 马 上 删 除 或 替 换 掉 你 在 命 令 行 环 境 下 存 储 的 各 种 重 要 信 息 。 攻 击 并 不 高 明 攻 击 并 不 高 明 “ 过 去 ， 这 样 的 事 大 多 都 是 偶 然 的 ， 我 们 也 见 过 故 意 山 寨 现 有 库 的 名 字 来 与 原 有 开 发 者 竞 争 的 情 况 。 但 这 次 ， p a c k a g e 的 命 名 完 全 是 故 意 和 恶 意 的 ， 目 的 就 是 欺 骗 用 户 ， 从 而 从 他 们 那 里 收 集 有 用 的 信 息 ， “ S i l v e r i o 说 。 位 于 瑞 典 的 开 发 人 员 O s c a r   B o l m s t e n 在 一 个 名 为 c r o s s e n v 的 p a c k a g e 中 发 现 了 恶 意 代 码 ， 而 人 们 真 正 想 找 的 却 是 c r o s s - e n v — —   一 款 当 下 很 流 行 的 用 来 设 置 环 境 变 量 的 脚 本 。 “ 通 过 使 用 环 境 变 量 的 方 法 将 身 份 凭 证 递 交 给 软 件 ， 这 样 的 做 法 很 普 遍 。 所 以 这 是 一 件 很 好 的 事 情 ， ” S i l v e r i o 在 接 受 电 话 采 访 时 说 道 。 环 境 变 量 还 用 于 存 储 用 户 名 ， 密 码 ， t o k e n ， 和 连 接 一 些 应 用 程 序 ， 云 服 务 ， A P I 访 问 权 限 的 密 码 。 在 攻 击 者 发 动 的 t y p o s q u a t t i n g 攻 击 中 ， 恶 意 代 码 会 尝 试 复 制 受 害 者 机 器 上 设 置 的 所 有 环 境 变 量 ， 并 将 其 传 输 到 攻 击 者 控 制 的 服 务 器 n p m . h a c k t a s k . n e t 上 。 c r o s s e n v 使 用 的 J S O N 配 置 文 件 运 行 了 一 个 名 为 p a c k a g e - s e t u p . j s 的 脚 本 ， 它 将 现 有 的 环 境 变 量 转 换 为 字 符 串 ， 然 后 通 过 P O S T 请 求 发 送 数 据 。
根 据 S i l v e r i o 所 说 ， 由 h a c k t a s k 提 交 的 大 约 4 0 个 n p m 包 已 从 n p m 删 除 ， 现 在 基 本 已 经 清 理 干 净 ， 我 们 扫 描 了 每 个 n p m p a c k a g e ， 来 寻 找 恶 意 使 用 的 安 装 代 码 ， 但 是 没 有 发 现 其 他 类 似 h a c k t a s k 的 情 况 。 S i l v e r i o 对 这 次 攻 击 的 效 果 表 示 了 怀 疑 ， 她 说 ： “ 通 过 拼 写 错 误 来 将 恶 意 软 件 倒 入 注 册 表 的 手 段 并 不 高 明 ， 因 为 人 们 更 因 为 人 们 更 倾 向 于 使 用 搜 索 或 者 复 制 粘 贴 已 发 布 的 代 码 倾 向 于 使 用 搜 索 或 者 复 制 粘 贴 已 发 布 的 代 码 。 7 月 中 旬 以 来 ， 排 除 因 为 好 奇 的 关 系 前 往 下 载 ， h a c k t a s k 上 传 的 绝 大 部 分 p a c k a g e ， 每 个 下 载 量 大 约 是 4 0 次 ， 恶 意 的 c r o s s e n v 软 件 包 的 下 载 次 数 最 多 ， 为 7 0 0 次 ， 但 这 里 面 大 多 数 都 被 认 为 是 触 发 了 n p m 镜 像 服 务 器 的 自 动 下 载 。 S i l v e r i o 估 计 在 这 段 时 期 只 有 约 只 有 约 5 0 人 人 下 载 了 恶 意 的 c r o s s e n v 包 ， 她 说 她 还 没 有 发 现 有 开 发 者 由 于 这 次 事 件 导 致 账 户 被 黑 的 上 报 情 况 。 虽 然 h a c k t a s k 的 账 户 已 经 被 封 了 ， 但 其 背 后 主 谋 却 还 未 知 是 谁 。
这 种 攻 击 有 办 法 预 防 吗 ？ 这 种 攻 击 有 办 法 预 防 吗 ？ 当 问 到 n p m 是 否 已 采 取 相 应 的 措 施 来 防 止 其 他 用 户 名 下 的 类 似 攻 击 时 ， S i l v e r i o 表 示 这 种 攻 击 仍 然 可 能 无 法 立 即 检 测 到 。 她 说 ： “ 虽 然 我 们 在 发 布 的 过 程 中 无 法 随 时 随 刻 的 掌 控 一 切 ， 但 我 们 建 立 了 一 个 运 行 良 好 的 系 统 ” ， S i l v e r i o 称 赞 了 n p m 社 区 的 警 惕 性 。 尽 管 如 此 ， S i l v e r i o 仍 表 示 ， n p m 正 在 研 究 如 何 识 别 有 相 似 名 字 的 n p m   p a c k a g e ， 用 来 防 治 今 后 的 t y p o s q u a t t i n g 攻 击 。 n p m 也 正 在 与 安 全 公 司 S m y t e 一 起 检 测 发 布 过 的 垃 圾 信 息 。 很 明 显 ， 垃 圾 信 息 的 发 布 者 希 望 搜 索 引 擎 检 索 到 R E A D M E 文 件 ， 来 提 高 自 己 的 网 站 排 名 。 2 0 1 6 年 的 k i w i c o n ， 开 发 者 J e f f   A n d r e w s 在 关 于 N o d e . j s 的 安 全 性 的 演 讲 上 问 了 自 己 这 样 一 个 问 题 ： “ 我 使 用 N o d e . j s 或 n p m ， 但 我 怎 么 保 证 这 么 做 是 安 全 的 呢 ？ ” 他 答 道 ： “ 根 本 不 能 保 证 。 ” * 参 考 来 源 ： t h e r e g i s t e r   ， n p m j s . o r g ， F B 小 编 L i k i 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理