關鍵詞

惡意軟件

安全公司 Tenable Research 披露，一個名為 “ambar-src” 的惡意 npm 包在被下架前已累計約 5 萬次下載，針對 Windows、Linux 與 macOS 開發(fā)者發(fā)起跨平臺攻擊。該包利用典型的 typosquatting（拼寫劫持）手法，偽裝成下載量超千萬的熱門包 ember-source，誘導開發(fā)者誤裝。

攻擊者于 2 月 13 日先發(fā)布無害版本建立“信譽”，在積累近 3 萬次下載后，于 2 月 16 日更新植入惡意代碼。其核心利用 npm 的 preinstall 腳本機制——只要執(zhí)行npm install ambar-src，惡意載荷即被觸發(fā)，開發(fā)者甚至無需手動調用代碼。

不同系統(tǒng)對應不同攻擊鏈：Windows 會下載并執(zhí)行名為 msinit.exe 的文件，加載加密 shellcode；Linux 拉取 ELF 二進制“osa”，被識別為 Golang 反向 shell“reverse_ssh”客戶端；macOS 則通過 osascript 下載 500KB 的 JavaScript 載荷，被確認是來自 Apfell 的組件，可竊取 Chrome 數(shù)據并彈出偽造密碼框。初始載荷從 x-ya.ru 獲取，后續(xù) C2 通信則通過 function.yandexcloud.ru 中繼，借助正常云服務流量掩護。

研究人員指出，該樣本是此前“eslint-verify-plugin”攻擊活動的升級版，加入十六進制混淆與代碼偽裝技術，隱蔽性更強。雖然 npm 在惡意版本上線不到 5 小時內將其移除，但已感染主機應被視為“完全失陷”。僅卸載包遠遠不夠，必須在干凈設備上輪換所有密鑰與憑證，并排查持久化后門。

這一事件再次說明，供應鏈攻擊正在向更精細化與長期化演進。對開發(fā)團隊而言，鎖定依賴版本、啟用軟件源完整性校驗與內部鏡像審核機制，已不再是可選項，而是基本防線。

安全圈

網羅圈內熱點 專注網絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！