软件供应链投毒 — NPM 恶意组件分析

聚焦源代码安全，网罗国内外最新资讯！

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的"虚拟人"，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出"供应链安全"栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末"推荐阅读"部分。

一、概述

NPM 仓库是最易遭受投毒攻击的开源仓库之一。最近一个月，奇安信开源卫士开源仓库监控平台检测出超过300个恶意组件，其中大部分的恶意组件攻击方式集中在下载安装阶段。

恶意组件利用 NPM 提供的一系列生命周期钩子执行恶意代码获取敏感信息，如用户名、密码、DNS、服务器ip、GitHub 配置等，发送给攻击者，或者通过反弹shell，造成主机失陷，以此来达到攻击的目的。其中部分恶意代码会经过加密混淆等加工，使检测难度进一步加大。

本文将选取奇安信开源卫士开源仓库监控平台近一个月监测到的部分标志性恶意组件进行分析。

二、部分标志性恶意组件示例及分析

奇安信开源卫士近一个月监测到的部分标志性恶意组件如下表所示：

|-----------|----------------------------------|---------|
| 恶意行为 | 组件 | 版本 |
| 窃取用户信息 | npm_package_devdependencies_sass | 2.69.5 |
| 窃取用户信息 | banca-movil-ionic-v4 | 1.1.2 |
| 窃取用户信息 | update-material-outline-gap | 3.7.14 |
| 窃取服务器信息 | slotbooking-ui | 2.18.0 |
| 窃取服务器信息 | lifi-contracts | 1.0.0 |
| 窃取服务器信息 | @sber-ufs-sbert/icons | 4.45.0 |
| 窃取Git账户信息 | @gusmano/reext | 0.0.225 |
| 后门攻击 | qr-emvco | 1.1.2 |
| 后门攻击 | deuna-msa-bo-sh-request-manager | 6.6.6 |
| 后门攻击 | doneida | 1.0.7 |

接下来对上表所列的部分组件进行分析。

slotbooking-ui

slotbooking-ui@2.18.0版本的包会在安装时运行脚本来窃取服务器信息。

（1）slotbooking-u在安装过程中通过package.json里定义的命令，执行预先编写好的index.js脚本。

（2）脚本会获取服务器内环境变量，以及 /etc/hosts和/etc/resolv.conf 文件内容，hosts 文件是 linux 系统中负责 ip 地址与域名快速解析的文件，/etc/resolv.conf 是DNS客户机配置文件，用于设置 DNS 服务器的 IP 地址及 DNS 域名，还包含了主机的域名搜索顺序。这些信息一旦泄漏，可能会被攻击者利用，对服务器发起攻击。

（3）/etc/hosts 和 /etc/resolv.conf 的文件内容会经过 get_file() 函数进行base64 编码。经过base64编码后的字符串没有特殊字符，不会产生歧义，也没有直接暴露明文，有利于传输。

（4）最后，恶意组件将收集的信息通过 post 请求发送给攻击者。

@gusmano/reext

@gusmano/reext@0.0.225 版本会在安装时运行脚本窃取服务器的 Git 配置信息，主要会造成用户的 Git 账号和邮箱泄露，并且该恶意包会在执行完恶意代码后自动删除恶意代码。该恶意包的周下载量为1560次。遗憾的是，目前为止该恶意包仍没有被 NPM 官方禁止。

（1）@gusmano/reext 在下载过程中按照顺序运行 package.json：script 中编写好的 preinstall.js 和 postinstall.js，其中 preinstall.js 收集使用者机器上的 Git 配置信息并发送给攻击者，postinstall.js 负责执行完恶意代码后删除恶意代码脚本和文件。