软件供应链投毒 — NPM 恶意组件分析

NPM 仓库是最易遭受投毒攻击的开源仓库之一。最近一个月，奇安信开源卫士开源仓库监控平台检测出超过300个恶意组件，其中大部分的恶意组件攻击方式集中在下载安装阶段。

恶意组件利用 NPM 提供的一系列生命周期钩子执行恶意代码获取敏感信息，如用户名、密码、DNS、服务器ip、GitHub 配置等，发送给攻击者，或者通过反弹shell，造成主机失陷，以此来达到攻击的目的。其中部分恶意代码会经过加密混淆等加工，使检测难度进一步加大。

本文将选取奇安信开源卫士开源仓库监控平台近一个月监测到的部分标志性恶意组件进行分析。

奇安信开源卫士近一个月监测到的部分标志性恶意组件如下表所示：

接下来对上表所列的部分组件进行分析。

[email protected]版本的包会在安装时运行脚本来窃取服务器信息。

（1）slotbooking-u在安装过程中通过package.json里定义的命令，执行预先编写好的index.js脚本。

（2）脚本会获取服务器内环境变量，以及 /etc/hosts和/etc/resolv.conf 文件内容，hosts 文件是 linux 系统中负责 ip 地址与域名快速解析的文件，/etc/resolv.conf 是DNS客户机配置文件，用于设置 DNS 服务器的 IP 地址及 DNS 域名，还包含了主机的域名搜索顺序。这些信息一旦泄漏，可能会被攻击者利用，对服务器发起攻击。

（3）/etc/hosts 和 /etc/resolv.conf 的文件内容会经过 get_file() 函数进行base64 编码。经过base64编码后的字符串没有特殊字符，不会产生歧义，也没有直接暴露明文，有利于传输。

（4）最后，恶意组件将收集的信息通过 post 请求发送给攻击者。

@gusmano/[email protected] 版本会在安装时运行脚本窃取服务器的 Git 配置信息，主要会造成用户的 Git 账号和邮箱泄露，并且该恶意包会在执行完恶意代码后自动删除恶意代码。该恶意包的周下载量为1560次。遗憾的是，目前为止该恶意包仍没有被 NPM 官方禁止。

（1）@gusmano/reext 在下载过程中按照顺序运行 package.json：script 中编写好的 preinstall.js 和 postinstall.js，其中 preinstall.js 收集使用者机器上的 Git 配置信息并发送给攻击者，postinstall.js 负责执行完恶意代码后删除恶意代码脚本和文件。

（2）preinstall.js 负责收集 Git 配置并发送给攻击者。首先通过服务器环境变量获取 Git 配置文件的位置，其次判断Git的配置文件是否存在，如果存在，则使用 iniparser 模块的 api 对 Git 配置文件进一步解析，获取用户的 Git 配置信息。

（3）获取解析后的 Git 的配置信息对象，将用户机器上 Git 配置中的用户名和邮箱作为 get 请求的参数发送给攻击者。

（4）postinstall.js 负责销毁攻击代码，在发送完 Git 配置信息后，会删除掉package.json 中的 script 内容，重写 package.json 文件，同时还会删除指定目录下的所有文件。

[email protected] 版本安装包会对使用者服务器进行后门攻击

qr-emvc 在安装过程中会运行 packag.json 文件中 scripts:preinstall 下的bash 命令，利用反弹shell直接操控被攻击者服务器。

利用 NPM 安装过程中执行各种命令或脚本的攻击方式越来越多，部分恶意组件仍可从官方或镜像仓库中下载安装。因此，开发者需提高安全防范意识，建议在使用第三方组件前先查看 package.json 文件内容，排查可能引入的安全风险。

奇安信开源卫士可以从项目中识别已使用的恶意开源组件，并在结果界面进行展示。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 “赞” 吧~