软件供应链投毒 — NPM 恶意组件分析（二）

聚焦源代码安全，网罗国内外最新资讯！

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

一、概述

npm仓库是最易遭受投毒攻击的开源仓库之一。奇安信开源卫士开源仓库监控平台在2月份检测出近百个恶意组件，其中大部分的恶意组件攻击方式集中在下载安装阶段。

恶意组件利用npm提供的一系列生命周期钩子执行恶意代码获取敏感信息，如用户名、密码、dns、服务器ip、github配置等，发送给攻击者，或者通过反弹shell，造成主机失陷，以此来达到攻击的目的。其中部分恶意代码会经过加密混淆等加工，使检测难度进一步加大。

本文将选取奇安信开源卫士开源仓库监控平台近一个月监测到的部分标志性恶意组件进行分析。

二、部分标志性恶意组件示例及分析

奇安信开源卫士近一个月监测到的部分标志性恶意组件如下表所示：

恶意行为	组件	版本
仿冒知名组件窃取用户、服务器信息	ember-cli-3	1.0.0
	ember-cli-babel-older	1.0.0
	ember-cli-typescript	21.0.0
混淆恶意代码窃取信息	build-benchmarks	15.2.4
后门攻击	is24-desktop	19.0.0、20.0.0、21.0.0

接下来对上表所列的部分组件进行分析。

ember-cli-3、ember-cli-babel-older、ember-cli-typescript

ember-cli-3@1.0.0、ember-cli-babel-older@1.0.0、ember-cli-typescript@21.0.0等版本的恶意包利用包名错误拼写方式，试图仿冒知名组件ember-cli。该包会在安装时运行脚本来窃取服务器信息，其攻击过程如下：

（1）ember-cli-3在安装过程中通过package.json里定义的命令，执行预先编写好的index.js脚本。

（2）脚本会获取服用户主目录、主机名称、用户名称以及dns配置，其中dns配置用于设置DNS服务器的IP地址及DNS域名，还包含了主机的域名搜索顺序。这些信息一旦泄漏，可能会被攻击者利用，对服务器发起攻击。

（3）最后通过http请求将收集的数据发送到zeh2fdgpp6ds57oc6z9b9fpgg7myasyh.oastify.com网址，该网址目前仍可打开。

build-benchmarks

（1）build-benchmarks@15.2.4版本会在安装时通过package.json里script定义的命令运行同目录下经过混淆的的脚本build-a-benchmark.js窃取服务及用户的信息。

（2）build-a-benchmark.js文件包含两部分主要代码，其一是混淆后的恶意代码，二是还原恶意代码的还原函数。其中混淆后的恶意代码如下：

从图中可以看出，该恶意代码通过_0x58f102函数替换了大部分变量和常量，很难直接辨认出具体的恶意行为。

_0x58f102函数，即还原恶意代码的还原函数如下：

通过循环将事先定义好的代码字符串放入_0x58f102函数中，其中包括获取用户信息、判断服务器系统信息、构建发送http请求部分的代码字符串，如判断攻击服务器的系统信息字符串‘win32’，窃取用户信息的字符串‘Username’、‘userInfo’、发送窃取信息的字符串‘https’、‘GET’、‘cig6l3l34eboiti6qhjgp47jjg51dznys.oast.me’等。将这些分开的代码串与已经写好的代码拼接，生成恶意代码窃取用户信息。

（3）还原后的恶意代码如下图所示，攻击者通过http请求，获取服务器用户等敏感信息。

is24-desktop

is24-desktop在安装过程中会运行packag.json文件中scripts:preinstall下的bash命令，利用反弹shell直接操控被攻击者服务器。其中，nc 是网络连接工具，作用是在两台电脑之间建立连接，并返回相应数据流，nc –e 、bin/bash是典型的反弹shell命令。