黑客利用恶意 npm、PyPI 和 Ruby 软件包来做渗透测试工具

2025年1月17日09:29:14评论23 views字数 1220阅读4分4秒阅读模式

攻击者利用 npm、PyPI 和 RubyGems 生态系统中的带外应用程序安全测试 (OAST) 技术进行多阶段攻击、建立命令和控制 (C2) 通道并窃取敏感数据。

OAST 工具最初由 PortSwigger 的 Burp Collaborator 开发，随后被 Project Discovery 的 interact.sh 等服务采用，允许道德研究人员在常规测试参数之外执行 HTTP 请求、DNS 查找和其他网络交互。

不幸的是，攻击者也利用这些强大的技能来发现受害者系统中的关键区域或秘密窃取数据。

利用 npm、PyPI 和 Ruby 漏洞包进行攻击

npm 包 adobe-dcapi-web 通过使用欺骗性的高版本号（例如 99.99.95—99.99.99）假装与 Adobe API 相关，以诱使开发人员和自动脚本相信它是“最新”更新。

Socket 研究人员报告称，该软件包包含混淆的 JavaScript 代码，可识别虚拟化环境、检查系统位置，并在检测到俄罗斯地区时停止执行。

当这些检查成功时，恶意代码会将敏感数据泄露给 oastify.com。

黑客利用恶意 npm、PyPI 和 Ruby 软件包来做渗透测试工具

此外，攻击者通过反转 PyPI 包 monoliht 中的一个字母，构建了一个与实际库整体非常相似的整体。

恶意脚本的域名用于秘密收集受害者的元数据，包括其主机名、用户名和当前工作目录。

黑客利用恶意 npm、PyPI 和 Ruby 软件包来做渗透测试工具

RubyGems 软件包包括 chauuuyhhn、nosvemosssadfsd 和 holaaaaaafasdf。
这些 gem 中嵌入了脚本，旨在通过DNS 查询将私人数据（包括主机名、外部 IP 地址、用户环境变量、当前工作目录和文件夹名）泄露到攻击者控制的 oastify.com 端点。

这种技术使攻击者能够在减少被发现的机会的情况下进行初步侦察，因为 DNS 流量对于简单的入侵检测系统来说通常似乎是无害的。

研究人员预计，攻击者将来会继续使用相同的带外测试方法来达到非法目的。

因此，实施解决方案可以让您实时了解软件供应链的完整性，并在任何可疑或恶意组件有机会立足之前向您发出警告。

攻击指标 (IOC)

恶意 npm 软件包：adobe-dcapi-web恶意 PyPI 软件包：monolith恶意 RubyGems 软件包：chauuuyhhn、nosvemosssadfsd、holaaaaaafasdf

恶意 OAST 端点：

信息来源：CyberSecurityNews

原文始发于微信公众号（犀牛安全）：黑客利用恶意 npm、PyPI 和 Ruby 软件包来做渗透测试工具

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

AMD贴片会影响EPYC和RYZEN处理器的高度SMM漏洞