關鍵詞

惡意軟件

一場新型惡意軟件攻擊活動通過偽裝成合法的Jackson JSON庫擴展，成功入侵了Java開發(fā)者最信賴的代碼倉庫之一——Maven中央倉庫。這個惡意軟件包以org.fasterxml.jackson.core/jackson-databind命名空間發(fā)布，通過誤植域名攻擊（typosquatting）在Maven中央倉庫發(fā)現(xiàn)的首批復雜惡意軟件案例之一。

攻擊者利用了巧妙的命名空間混淆策略：合法Jackson庫使用com.fasterxml.jackson.core命名空間，而惡意版本則使用org.fasterxml.jackson.core。這種細微差別使得開發(fā)者很容易在項目中誤引入有害軟件包。

精心策劃的攻擊行動

該惡意軟件活動顯示出明顯的精心策劃特征。攻擊者創(chuàng)建了虛假域名fasterxml.org來鏡像合法的fasterxml.com，采用了與軟件包命名空間相同的.com到.org替換策略。該域名注冊于2025年12月17日，就在Aikido安全分析師發(fā)現(xiàn)威脅的八天前。這種從域名注冊到部署的短暫間隔是惡意軟件操作的常見模式，旨在降低早期檢測和被列入黑名單的幾率。

該軟件包在被發(fā)現(xiàn)后1.5小時內即被報告給Maven中央倉庫并下架，但在此之前可能已經(jīng)危害了開發(fā)者系統(tǒng)。

Aikido分析師指出，該惡意軟件采用了多層混淆技術來隱藏其真實目的。jar文件中的代碼經(jīng)過嚴重混淆，甚至試圖通過提示注入技術（prompt injection）來干擾基于機器學習的分析工具。在未正確處理Unicode字符的編輯器中打開時，代碼會顯示大量干擾信息，使人工檢查變得困難。經(jīng)過仔細分析，研究團隊成功解混淆了惡意代碼，揭示其作為木馬下載器的真實功能——連接命令控制服務器并在受感染系統(tǒng)上執(zhí)行有害負載。

感染機制與負載投放

該惡意軟件通過七階段感染流程運作，始于開發(fā)者將惡意依賴項添加到其pom.xml文件時。一旦被包含，當Spring Boot應用啟動時，該軟件包會自動執(zhí)行，因為Spring會掃描@Configuration類并發(fā)現(xiàn)JacksonSpringAutoConfiguration。惡意軟件會檢查ApplicationRunner.class（該文件始終存在于Spring Boot環(huán)境中），確保惡意代碼無需開發(fā)者顯式調用即可運行。

感染機制包括持久性檢查，惡意軟件會在工作目錄中搜索名為.idea.pid的文件。這個文件名巧妙地混入IntelliJ IDEA項目文件中，降低了開發(fā)者發(fā)現(xiàn)項目結構中異常文件的可能性。隨后，惡意軟件通過檢查System.getProperty("os.name")進行環(huán)境指紋識別，確定系統(tǒng)運行的是Windows、macOS還是Linux，并據(jù)此下載適合檢測到的操作系統(tǒng)的負載。

命令控制通信通過"http[:]//m[.]fasterxml[.]org:51211/config[.]txt"進行，該地址提供AES加密的配置數(shù)據(jù)。

惡意軟件使用硬編碼的AES-ECB密鑰（9237527890923496）解密每個支持平臺的負載URL。解密后的格式遵循os|url模式，例如Windows系統(tǒng)的win|http[:]//103.127.243[.]82:8000/http/192he23/svchosts.exe。下載二進制文件payload.bin到系統(tǒng)臨時目錄后，惡意軟件會執(zhí)行該文件，同時在Unix系統(tǒng)上將輸出重定向到/dev/null，在Windows上重定向到NUL，以抑制任何可見活動。Windows負載故意使用svchosts.exe名稱（仿冒合法的svchost.exe進程）來避免檢測。

通過VirusTotal對下載負載的分析證實，Linux和macOS二進制文件是Cobalt Strike信標——一種強大的滲透測試工具，常被勒索軟件運營商和APT（高級持續(xù)性威脅）組織用于遠程訪問、憑證竊取和網(wǎng)絡橫向移動。

安全圈

網(wǎng)羅圈內熱點 專注網(wǎng)絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！