聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。
随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。
为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。
注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。
ReversingLabs 公司的研究人员发现，这起攻击活动（被称为“IconBurst”）的幕后威胁行动者使用typosquatting 感染那些寻非常热门程序包如 umbrellajs 和 ionic.io NPM模块的开发人员。
如果被类似的模块命名所愚弄，这些开发人员就会把恶意程序包加载到应用或网站中，导致数据被窃取。例如，该攻击中利用了恶意NPM程序包 icon-package 的下载量达到1.7万次，旨在将序列化形式的数据提取到多个受攻击者控制的域名中。
研究人员指出，IconBurst“依赖的是typo-squatting（攻击者通过公有库提供命名类似于合法程序包或是常见合法程序包的错误拼写的程序包），此外，用于提取数据的域名之间的相似之处表明，这起攻击活动中的多个模块受同一个行动者控制”。
虽然研究人员在2022年7月1日将情况告知 NPM 安全团队，但目前仍然可从NPM注册表中下载某些 IconBurst 恶意程序包。
研究人员指出，“虽然一些已提到的程序包已从NPM删除，但在本报告撰写期间多数仍可下载。”
虽然研究人员可编译IconBurst 供应链攻击中使用的恶意程序包清单，但其影响仍有待确定，因为无法了解从2021年12月起攻击者到底从应用和网页中窃取了多少数据和凭据。目前的唯一指标是每个恶意 NPM 模块被安装的次数，研究人员目前掌握的数据只是开始。
研究人员指出，“虽然这起攻击的完整影响范围尚不清楚，但我们发现的恶意程序包可能已用于至少数百款下游的移动和桌面应用程序和网站。NPM模块中绑定的恶意代码在数量未知的移动和桌面应用程序和网页中运行，收割数量未知的用户数据。目前团队识别出的NPM模块的下载总量已超过2.7万次。”
奇安信开源软件供应链安全技术应用方案获2022数博会“新技术”奖
热门PyPI 包 “ctx” 和 PHP库 “phpass” 长时间未更新遭劫持，用于窃取AWS密钥
趁机买走热门包唯一维护人员的邮件域名，我差点发动npm 软件供应链攻击
和GitHub 打官司？热门包 SheetJS出走npmjs.com转向自有CDN
不满当免费劳力，NPM 热门库 “colors” 和 “faker” 的作者设无限循环
NPM流行包再起波澜：维护人员对俄罗斯用户发特定消息，谁来保证开源可信？
200多个恶意NPM程序包针对Azure 开发人员，发动供应链攻击
NPM 修复两个严重漏洞但无法确认是否已遭在野利用，可触发开源软件供应链攻击
热门NPM库 “coa” 和“rc” 接连遭劫持，影响全球的 React 管道
速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年
Pwn2Own大赛回顾：利用开源服务中的严重漏洞，攻陷西部数据My Cloud PR4100
热门开源后端软件Parse Server中存在严重的 RCE ，CVSS评分10分
https://www.bleepingcomputer.com/news/security/npm-supply-chain-attack-impacts-hundreds-of-websites-and-apps/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
原文始发于微信公众号（代码卫士）：NPM 供应链攻击影响数百个网站和应用
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论