NPM仓库出现针对多个加密货币交易平台的投毒攻击

投毒行为分析

以针对 kucoin 相关的投毒包为例，投毒者尝试按照软件开发的常用环境进行组合命名，分别发布了 kucoin-dev、kucoin-test 、kucoin-internal 、kucoin-main 、 kucoin-production五个投毒包。

初步探测

初步探测阶段大部分投毒包发布的是19.4.9版本，以 kucoin-internal 投毒包为例，当用户安装时将自动执行 preinstall 脚本，窃取用户主机的/etc/shadow文件信息并发送到攻击者可控的服务器地址：

这一阶段只是探测有哪些组件会被Linux服务器使用、具有的用户信息，收集信息用于后续进一步利用。

进一步利用

2025年2月12日开始，有投毒者针对 Dzengi 交易所发布了具有后门的NPM投毒组件dzengi，该组件目前已被NPM官方下架，仍可在国内镜像源中下载。

dzengi在2月13日开始发布了19.5.0到19.5.5等版本，在新版本中加入了更多恶意逻辑。

在19.5.5版本中，仍通过安装时的 preinstall 脚本执行恶意代码，但除了窃取 /etc/passwd 和 /etc/shadow文件之外，还向攻击者的C2地址建立反向shell连接：

dzengi v19.5.5 的  package.json文件

在其C2服务中，进一步通过echo命令筛选、保持可用的shell连接：

截至2月13日凌晨4点23分该组件被官方下架之后，尚未捕获到该攻击者针对交易平台的进一步投毒。

IOC

• ihlkoqayjlegsltkrlhf1sg6hpfdbmrgy.oast.fun

• cumg3keujssjipjc7bngna6ohyp5yde76.oast.fun

• 31.214.157.142