用每个月的下载量超过300亿次的NPM，窃取密码是一种什什么样的体验！

研究人员发现官方NPM库中的软件包可以从Chrome web浏览器窃取保存的密码。

NPM 是Node.js的包管理器，共有超过150万个包，每个月的下载量超过300亿次。研究人员分析发现，NPM中包含不同类型的可执行文件，包括PE、ELF、MachO等。

研究人员分析发现nodejs_net_server包的多个版本中都具有恶意行为。通过这些包的metadata数据分析发现该文件的原始名为a.exe，位于lib文件夹中。研究人员进一步分析发现a.exe是一个ChromePass工具，用来恢复Chrome web浏览器中保存的密码。

图1: ChromePass工具

该工具本身并不是恶意的，但是可以用于恶意目的。比如，该包使用它来执行恶意密码窃取和凭证窃取。虽然该密码恢复工具有图形用户接口，但是恶意软件作者好像更喜欢用命令行工具。

图2: nodejs_net_server NPM包

NPM的 nodejs_net_server包页面表明该包的最新版本为v1.1.2，大约6个月前发布。该包的URL主页指向一个GitHub地址。该包的开发者为chrunlee，是GitHub的活跃开发者，GitHub账号中含有一个web链接：hxxps://chrunlee.cn 。

图3: chrunlee的 github页面

NPM版本历史表明该包一共发布了12个版本，总下载次数为1283次。

表 1: nodejs_net_server版本

有意思的是发布的1.1.1和1.1.2版本中包含了测试ChromePass工具的结果。这些登录凭证信息保存在相同文件夹的a.txt文件中，因为密码恢复工具名为a.exe。

文本文件中包含2020年3月到2020年12月创建的282个登录凭证信息。图4可以看出恶意软件作者并没有遵循密码的最佳安全实践。

图4: 恶意软件作者从浏览器中恢复的密码

另外，恶意软件作者还通过类似单词（typosquatting）诱使受害者执行恶意包。恶意软件作者使用与主流包类似名的包来诱使用目标安装包。本例中，恶意软件作者使用了不同的方式来滥用npm包的配置选项。

NPM包在package.json 配置文件中的bin 域来PATH路径安装一个或多个可执行文件。包安装后，NPM会将该文件软链到prefix/bin文件夹（全局安装）或./node_modules/.bin/ 文件夹（本地安装）。这些可执行文件可能会被分配给任意名，如果相同名字的模块存在，就会覆写和映射到恶意软件提供的脚本。

NPM下载数据表明该包已经被下载超过3.5万次数。该包在Node.js开发者社区也是非常流行的，在过去7天内下载量超过1000次。该包车位劫持目标的另外一个原因是测试执行时是以命令行形式而非JS文件模块的形式。

包安装和成功劫持后，恶意软件还会通过将 lib/test.js 脚本安装为Windows服务的形式来实现驻留。

图6: 驻留Windows服务安装

该服务会打开一个socket来监听7353端口的命令。支持的命令包括逆向host和端口配置、目录内容监听、文件查询、文件上传、shell命令执行、屏幕和摄像头录制。浏览器密码窃取是通过之前下面的ChromePass 工具的shell命令执行实现的。

该包的主页和GitHub仓库链接目前都指向不存在的web页面。查看恶意软件开发者chrunlee发布的其他NPM包发现了一个同样没有链接的包。该包名为tempdownloadtempfile，只在2019年6月发布过1个版本。其中只包含 package.json 和file/test.js文件。file/test.js文件实现了nodejs_net_server 包中实现的相同的远程shell功能，但该包并不执行劫持也没有驻留机制。
在这里友情提醒！！！
答应我
这种事不能能明目张胆的做，里面的饭不好吃！

这有正当的网安学习途径，白嫖资料

用每个月的下载量超过300亿次的NPM，窃取密码是一种什什么样的体验！相关推荐

Secure-D揭示下载量达5亿次的可疑Android应用
Upstream的安全平台阻止了由流行的Android视频下载器发起的1.3亿次可疑移动交易 VidMate劫持移动设备,吞噬数据,产生不必要的费用并收集个人用户信息,可能影响逾5亿用户伦敦--(美 ...
下载量超 20 亿的 8 款 Android 应用涉广告欺诈，谁在“猎杀”猎豹移动？
作为中国移动互联网公司出海领军者猎豹移动,于近日,被国外应用分析.归属公司 Kochava 发文直指涉嫌背着用户搞广告欺诈,涉及下载量超过 20 亿的 8 款流行 Android 应用,其中 7 款应 ...
TensorFlow全球下载量破1亿，Jeff Dean激动不已，但网友却不给面子
十三发自凹非寺量子位报道 | 公众号 QbitAI 4年半,全球下载量突破1个亿,仅过去1个月,便有超过1000万的下载. 这就是TensorFlow提交的最新成绩单. 谷歌AI负责人 Jef ...
TensorFlow全球下载量破1亿，Jeff Dean激动不已
点上方蓝字计算机视觉联盟获取更多干货在右上方 ··· 设为星标 ★,与你不见不散仅作分享,不代表本公众号立场,侵权联系删除转载于:量子位 AI博士笔记系列推荐周志华<机器学习>手推 ...
广告屏蔽软件Adblock Plus下载量近10亿
近日广告屏蔽扩展程序AdBlock和AdBlock Plus正式入驻微软Win10 Edge浏览器,不过当前仅限于Win10预览版用户使用.现在,AdBlock Plus应用开发商德国Eyeo公司联合 ...
云原生周报 | Fluent Bit下载量达到10亿次；对 Istio 1.11的支持已经结束
业界要闻 1. Fluent Bit下载量达到10亿次摘要:如何快速有效地从企业中跨分布式环境创建的大量日志和事件数据中获取情报.这一问题变得越来越困难,随着组织迅速采用分布式.动态.云原生服务,这 ...
HABBY CEO王嗣恩：这个下载量近20亿的爆款，曾被我推翻重做两次
<别踩白块儿>系列和<弓箭传说>都是近年来的超休闲爆款,在它们火爆全球的背后,HABBY CEO王嗣恩表示,有一种贯穿于制作过程的思想--用低成本的方法快速验证玩法. 8月1日 ...
自带浏览器_三星手机自带浏览器下载量突破 10 亿次
近期,三星手机自带的浏览器应用"Samsung Internet Browser"显示在 Google Play 上下载(安装)量突破了 10 亿次.不过,这款浏览器可观的下载量显 ...
Apache OpenOffice 下载量突破一亿次
Apache软件基金会宣布, 开源办公软件Apache OpenOffice下载量突破了一亿次.OpenOffice的前身是StarDivision的StarOffice,Sun在收购 StarDiv ...

用每个月的下载量超过300亿次的NPM，窃取密码是一种什什么样的体验！

用每个月的下载量超过300亿次的NPM，窃取密码是一种什什么样的体验！相关推荐

最新文章

热门文章