搜索

[29103] 2021-08-04_【全球资讯】NPM包通过Chrome的帐户恢复工具窃取密码

文档创建者：s7ckTeam
浏览次数：50
最后更新：2025-01-19
2021-08-04_【全球资讯】NPM包通过Chrome的帐户恢复工具窃取密码 【 全 球 资 讯 】 N P M   包 通 过   C h r o m e   的 帐 户 恢 复 工 具 窃 取 密 码 O t s 安 全   2 0 2 1 - 0 8 - 0 4 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 在 另 一 场 大 规 模 的 软 件 供 应 链 攻 击 中 ， 密 码 窃 取 者 通 过   C h r o m e P a s s   从   W i n d o w s   系 统 上 的   C h r o m e   窃 取 凭 据 。 在   n p m   开 源 代 码 库 中 发 现 了 一 个 使 用 合 法 密 码 恢 复 工 具 的 凭 据 窃 取 代 码 炸 弹 ， 它 潜 伏 在   n p m   开 源 代 码 存 储 库 中 ， 等 待 植 入 从 该 源 提 取 代 码 的 庞 大 应 用 程 序 群 中 。 研 究 人 员 从   W i n d o w s   系 统 上 的   C h r o m e   中 捕 获 了 恶 意 软 件 窃 取 凭 据 。 密 码 窃 取 器 是 多 功 能 的 ： 它 还 可 以 侦 听 来 自 攻 击 者 的 命 令 和 控 制   ( C 2 ) 服 务 器 的 传 入 命 令 ， 可 以 上 传 文 件 、 从 受 害 者 的 屏 幕 和 摄 像 头 进 行 记 录 以 及 执 行   s h e l l   命 令 。 n p m （ 最 初 是   N o d e   P a c k a g e   M a n a g e r   或   N P M   的 缩 写 ） 是   J a v a S c r i p t   运 行 时 环 境   N o d e . j s   的 默 认 包 管 理 器 ， N o d e . j s   建 立 在   C h r o m e   的   V 8 J a v a S c r i p t   引 擎 之 上 。 它 类 似 于   G i t H u b 、 R u b y G e m s   和   P y P I   等 其 他 代 码 存 储 库 ， 因 为 它 是 （ 非 常 长 的 ） 软 件 供 应 链 的 一 部 分 。 用 “ 庞 大 ” 来 描 述 生 态 系 统 是 一 种 轻 描 淡 写 的 说 法 ： n p m   托 管 着 超 过   1 5 0   万 个 独 特 的 包 ， 每 天 为 全 球 约   1 1 0 0   万 开 发 人 员 提 供 超 过   1 0   亿 次 J a v a S c r i p t   包 请 求 。 滥 用 滥 用   G o o g l e   C h r o m e P a s s   实 用 程 序 实 用 程 序 除 了 文 本   J a v a S c r i p t   文 件 ， n p m   还 包 含 各 种 类 型 的 可 执 行 文 件 ， 例 如   P E 、 E L F   和   M a c h - O 。 R e v e r s i n g L a b s   研 究 人 员 在 周 三 的 一 篇 文 章 中 发 表 了 他 们 的 发 现 ， 他 们 表 示 ， 在 对 代 码 存 储 库 进 行 分 析 期 间 ， 他 们 发 现 了 一 个 有 趣 的 嵌 入 式   W i n d o w s   可 执 行 文 件 ： 凭 据 窃 取 威 胁 。 标 记 为 “ W i n 3 2 . I n f o s t e a l e r . H e u r i s t i c s ” ， 它 出 现 在 两 个 包 中 ： n o d e j s _ n e t _ s e r v e r   和   t e m p t e s t t e m p f i l e 。 至 少 就 目 前 而 言 ， 第 一 个 主 要 威 胁 是   n o d e j s _ n e t _ s e r v e r 。 一 些 细 节 ： n o d e j s _ n e t _ s e r v e r ： 自   2 0 1 9   年   2   月 首 次 发 布 以 来 ， 已 发 布   1 2   个 版 本 ， 总 共 下 载 超 过   1 , 3 0 0   次 的 包 。 它 最 后 一 次 更 新 是 在 六 个 月 前 ， 由 某 人
使 用 “ c h r u n l e e ” 的 名 字 创 作 。 根 据   R e v e r s i n g L a b s   的 说 法 ， c h r u n l e e   似 乎 也 是   G i t H u b   上 的 活 跃 开 发 人 员 ， 该 开 发 人 员 正 在 开 发   6 1   个 存 储 库 。 n o d e j s _ n e t _ s e r v e r   N P M   包 摘 要 。 资 料 来 源 ： R e v e r s i n g L a b s 。
c h r u n l e e   的   g i t h u b   个 人 资 料 。 资 料 来 源 ： R e v e r s i n g L a b s 。 通 过 静 态 分 析 ， 研 究 人 员 在   n o d e j s _ n e t _ s e r v e r   包 的 多 个 版 本 中 发 现 了   W i n 3 2 . I n f o s t e a l e r . H e u r i s t i c s   文 件 。 它 的 元 数 据 显 示 该 文 件 的 原 始 名 称 是 “ a . e x e ” 并 且 它 位 于 “ l i b ” 文 件 夹 内 。 研 究 人 员 指 出 ， 带 有 类 似 扩 展 名 的 单 字 母 文 件 名 会 向 威 胁 猎 人 发 出 危 险 信 号 。 果 然 ， a . e x e   原 来 是 一 个 名 为   C h r o m e P a s s   的 实 用 程 序 ： 一 个 合 法 的 工 具 ， 用 于 恢 复 存 储 在   C h r o m e   网 络 浏 览 器 中 的 密 码 。 c h r u n l e e   通 过   1 2   个 版 本 增 强 了   n o d e j s _ n e t _ s e r v e r   包 ， 直 到 去 年   1 2   月 最 终 使 用 脚 本 对 其 进 行 升 级 以 下 载 密 码 窃 取 程 序 ， 开 发 人 员 将 其 托 管 在 个 人 网 站 上 。 研 究 人 员 推 测 ， 它 随 后 被 调 整 为 运 行   T e a m V i e w e r . e x e ， “ 可 能 是 因 为 作 者 不 希 望 恶 意 软 件 与 其 网 站 之 间 存 在 如 此 明 显 的 联 系 ” 。 分 析 师 称 ， c h r u n l e e   发 布 了 第 一 个 版 本 “ 只 是 为 了 测 试   N P M   包 的 发 布 过 程 ” 。 三 个 月 后 ， 恶 意 软 件 制 造 商 实 现 了 远 程   s h e l l   功 能 ， 并 在 多 个 后 续 版 本 中 进 行 了 改 进 。 然 后 ， 在   2 0 2 0   年   4   月 ， c h r u n l e e   对 版 本   1 . 0 . 7   和   1 . 0 . 8   中 的   s h e l l   功 能 进 行 了 小 的 修 改 。 最 后 ， 在   2 0 2 0   年   1 2   月 ， 版 本 1 . 1 . 0   更 新 了 一 个 脚 本 来 下 载 密 码 窃 取 工 具 。 第 二 题 包 第 二 题 包 t e m p t e s t t e m p f i l e ： 总 下 载 量 超 过   8 0 0   次 。 分 析 师 观 察 到 ， 考 虑 到 “ 主 页 和   G i t H u b   存 储 库 链 接 到 此 包 会 导 致 不 存 在 的 网 页 ” ， 这 有 点 令 人 头 疼 。 c h r u n l e e   的   n p m   包 之 一 — — t e m p d o w n l o a d t e m p f i l e — — 也 有 不 存 在 的 链 接 。 它 的 一 个 文 件 — — f i l e / t e s t . j s — — 实 现 了 与   n o d e j s _ n e t _ s e r v e r   包 版 本 中 发 现 的 相 同 的 远 程   s h e l l   功 能 ， 但 这 个 包 不 执 行 执 行 劫 持 ， 并 且 它 缺 乏 持 久 性 机 制 ， 使 其 目 的 是 “ 一 个 有 点 不 清 楚 ， ” R e v e r s i n g L a b s   说 。 有 趣 的 开 发 人 员 有 趣 的 开 发 人 员   F - U p
R e v e r s i n g L a b s   分 析 师 在 挑 选   n o d e j s _ n e t _ s e r v e r   代 码 时 发 现 了 一 个 开 发 “ 有 趣 的 事 实 ” ： 它 的 作 者   c h r u n l e e   不 仅 编 写 了 一 个 凭 据 窃 取 程 序 ， 而 且 还 意 外 地 发 布 了 他 们 自 己 存 储 的 登 录 凭 据 ， 与 密 码 抓 取 器 正 面 交 锋 ， 打 开 作 者 自 己 起 来 攻 击 。 研 究 人 员 观 察 到 ： “ 看 来 ， 来 自   n p m   存 储 库 的 已 发 布 版 本   1 . 1 . 1   和   1 . 1 . 2   包 括 在 作 者 的 个 人 计 算 机 上 测 试   C h r o m e P a s s   工 具 的 结 果 。 ”   “ 这 些 登 录 凭 据 存 储 在 与 密 码 恢 复 工 具 相 同 的 文 件 夹 中 的 ‘ a . t x t ’ 文 件 中 ， 名 为 ‘ a . e x e ’ 。 ” 另 一 个 有 趣 的 事 实 ： 该 文 本 文 件 有   2 8 2   个 从   c h r u n l e e   浏 览 器 捕 获 的 登 录 凭 据 ， 其 中 一 些 可 能 仍 然 有 效 （ R e v e r s i n g L a b s   没 有 验 证 它 们 ） 。 而 且 ， 其 中 一 些 凭 据 具 有 最 蹩 脚 的 密 码 （ 例 如 “ 1 1 1 ” ） 和 用 户 名 （ “ a d m i n ” ， 任 何 人 ？ ） 。 恶 意 软 件 作 者   c h r u n l e e   从 他 们 自 己 的 浏 览 器 中 恢 复 的 一 些 密 码 。 资 料 来 源 ： R e v e r s i n g L a b s 。 “ 仅 查 看 一 些 恢 复 的 凭 据 … … 就 表 明 作 者 并 不 总 是 关 心 最 佳 密 码 策 略 实 践 ， ” 分 析 师 优 雅 地 轻 描 淡 写 。 更 新 ： 现 在 删 除 了 坏 包 更 新 ： 现 在 删 除 了 坏 包 R e v e r s i n g L a b s   于   7   月   2   日 联 系 了   n p m   安 全 团 队 ， 让 他 们 提 前 了 解   n o d e j s _ n e t _ s e r v e r   和   t e m p d o w n l o a d t e m p f i l e   包 ， 并 在 上 周 （ 周 四 ） 再 次 回 过 头 来 ， 因 为 该 团 队 仍 未 从 存 储 库 中 删 除 这 些 包 。 当   T h r e a t p o s t   联 系 维 护 存 储 库 的   n p m   I n c .   时 ， G i t H u b   发 言 人 发 送 了 以 下 声 明 ： “ 在 我 们 调 查 后 ， 这 两 个 软 件 包 都 被 删 除 了 。 ” 早 期 的 早 期 的   n p m   劫 持 劫 持 这 不 是   n p m   第 一 次 被 有 毒 代 码 渗 透 。 今 年 早 些 时 候 ， 三 个 恶 意 软 件 包 被 发 布 到   n p m ； 研 究 人 员 表 示 ， 任 何 被 代 码 损 坏 的 应 用 程 序 都 可 能 从 D i s c o r d   用 户 那 里 窃 取 令 牌 和 其 他 信 息 。 2 0 1 8   年   7   月 ， 攻 击 者 破 坏 了 E S L i n t   维 护 者 的   n p m   凭 据 ， 并 向   n p m   注 册 表 发 布 了 流 行 的 “ e s l i n t - s c o p e ” 和 “ e s l i n t - c o n f i g - e s l i n t ” 软 件 包 的 恶 意 版 本 。 恶 意 代 码 复 制 了 运 行   e s l i n t - s c o p e   的 机 器 的   n p m   凭 据 并 将 其 上 传 给 攻 击 者 。 几 个 月 后 ， 也 就 是   2 0 1 8   年   1 1   月 ， 又 发 现 了 另 一 个 恶 意 软 件 包 ： 它 依 赖 于 流 行 软 件 包 “ e v e n t - s t r e a m ” 的   3 . 3 . 6   版 。 这 个 名 为 “ f l a t m a p - s t r e a m ” 的 恶 意 软 件 包 包 含 一 个 加 密 的 有 效 载 荷 ， 专 门 用 于 从   C o p a y   应 用 程 序 中 窃 取 比 特 币 。 存 储 库 是 越 来 越 受 欢 迎 的 目 标 存 储 库 是 越 来 越 受 欢 迎 的 目 标 尽 管 该 恶 意 软 件 在   n p m   注 册 表 中 存 在 超 过 三 年 的 事 实 令 人 担 忧 ， 但 值 得 庆 幸 的 是 ， 那 些 年 让 防 病 毒 引 擎 有 机 会 迎 头 赶 上 ： V i r u s T o t a l 显 示   4 6 家 安 全 供 应 商 已 将   a .   e x e   文 件 为 恶 意 文 件 。 S o n a t y p e   高 级 安 全 研 究 员   A x   S h a r m a   表 示 ， 他 周 三 告 诉   T h r e a t p o s t ， C h r o m e   密 码 窃 取 恶 意 软
件 “ 进 一 步 证 实 了 对 开 源 生 态 系 统 的 攻 击 如 何 存 在 并 且 可 能 多 年 未 被 发 现 。 ” 请 注 意 ， 这 不 仅 仅 是 网 络 攻 击 者 瞄 准 线 中 的   n p m 。 本 月 早 些 时 候 ， 研 究 人 员 偶 然 发 现 了 一 组 渗 透 到   P y P I   中 的 加 密 矿 工 ， 也 就 是   P y t h o n P a c k a g e   I n d e x   ( P y P I ) ， 这 是 一 个 用   P y t h o n   编 程 语 言 创 建 的 软 件 代 码 存 储 库 。 根 据 该 报 告 ， n p m   渗 透 只 是 开 发 人 员 如 何 过 度 信 任 第 三 方 代 码 、 重 用 库 以 获 得 快 速 、 简 单 的 结 果 以 及 “ 在 将 它 们 纳 入 之 前 很 少 [ 进 行 ] 深 入 的 安 全 评 估 的 最 新 例 子 。 他 们 的 项 目 。 ” 当 然 ， 有 很 多 代 码 需 要 解 决 。 R e v e r s i n g L a b s   表 示 ： “ 这 种 遗 漏 是 由 于 在 第 三 方 代 码 中 发 现 的 潜 在 安 全 问 题 具 有 压 倒 性 的 性 质 和 数 量 巨 大 。 ”   “ 因 此 ， 一 般 来 说 ， 软 件 包 会 被 快 速 安 装 以 验 证 它 们 是 否 解 决 了 问 题 ， 如 果 没 有 ， 则 转 向 替 代 方 案 。 这 是 一 种 危 险 的 做 法 ， 可 能 会 导 致 意 外 安 装 恶 意 软 件 。 ” S h a r m a   表 示 ， 发 现   a . e x e   的 特 别 之 处 在 于 它 使 用 合 法 的 密 码 恢 复   W i n d o w s   实 用 程 序   C h r o m e P a s s   从 用 户 的   C h r o m e   浏 览 器 中 窃 取 密 码 。 “ 威 胁 行 为 者 通 常 依 靠 合 法 的 组 件 和 服 务 来 进 行 他 们 的 险 恶 活 动 ， 以 逃 避 检 测 ， ” 他 通 过 电 子 邮 件 说 。 在 报 告 的 结 论 中 ， R e v e r s i n g L a b s   指 出 ， 软 件 供 应 链 攻 击 正 成 为 恶 意 行 为 者 的 “ 强 大 策 略 ” ， 开 发 人 员 成 为 其 组 织 及 其 客 户 群 的 关 键 切 入 点 。 报 告 警 告 说 ： “ 针 对 开 发 人 员 的 最 常 见 的 攻 击 媒 介 之 一 是 利 用 公 共 软 件 包 存 储 库 。 ”   “ 由 于 这 些 存 储 库 拥 有 大 量 托 管 包 ， 它 们 为 恶 意 软 件 潜 伏 提 供 了 一 个 很 好 的 藏 身 之 处 。 在 这 些 存 储 库 中 反 复 发 现 恶 意 包 已 经 证 明 ， 对 能 够 提 供 可 靠 识 别 和 保 护 的 安 全 解 决 方 案 的 需 求 不 断 增 长 对 抗 这 些 类 型 的 攻 击 。 ” 0 7 2 1 2 1   1 5 : 0 9   更 新 ： 添 加 了 来 自   A x e   S h a r m a   的 输 入 。 0 7 2 1 2 1   1 6 : 1 8   更 新 ： 更 新 了 故 事 以 包 含   G i t H u b   的 声 明 。 0 7 2 1 2 1   1 7 : 4 4   更 新 ： 更 正 了   G i t H u b   的 初 始 声 明 ： 此 时 ， 两 个 包 都 已 被 删 除 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理