热门NPM库 “coa” 和“rc” 接连遭劫持，影响全球的 React 管道

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

热门npm 库 “coa” 被劫持并被注入恶意代码，影响全球所有的 React 管道。“coa” 库的全称是 ”命令-选项-参数“，每周的下载量约为900万次，用于 GitHub 上近500万个开源库中。几小时后，另外一个常用的npm组件 “rc” 也遭劫持，”rc”库的每周下载量达到1400万次。

恶意代码被注入 “coa” 发布

今天，全球所有的开发人员都会吃惊：npm 库 “coa” 竟然发布了新版本，要知道这个项目已经有数年没有人动过，今天突然出现在npm库中。“coa” 是 Node.js 项目的命令行选项解析器。该项目的最新稳定版 2.0.2 在2018年12月发布。但就在几个小时前，npm 上出现了可疑版本 2.0.3、2.0.4、2.1.1、2.1.3和3.1.3，导致依赖于 “coa” 库的 React 程序包崩溃。

一名 React 开发人员 Roberto Wesley Overdijk 指出，”我不确定发生了什么，但10分钟前发现一个发布版本（尽管GitHub 上的最后一次更新是在2018年）。这个发布版本导致互联网崩溃。“另外一名昵称为 ElBidouilleur 的GitHub 用户发现其中一个 “coa” 版本2.1.3 使其build 崩溃：

npm ERR! code ELIFECYCLE
npm ERR! errno 1
npm ERR! [email protected] preinstall: start /B node compile.js & node compile.js
npm ERR! Exit status 1
npm ERR!
npm ERR! Failed at the [email protected] preinstall script.
npm ERR! This is probably not a problem with npm. There is likely additional logging output above.
npm ERR! A complete log of this run can be found in:
npm ERR! /home/mboutin/.npm/_logs/2021-11-04T14_01_45_544Z-debug.log

多名开发人员加入讨论，证实了自己在 “coa” 新版本发布后，build 出现各种问题。

不久后另外一个热门的npm库 “rc” 也被劫持，npm 中出现了恶意版本1.2.9、1.3.9和2.3.9。

恶意软件类似于被黑的 “ua-parser-js” 和虚假 Noblox 包

上个月，另外一个流行的热门 npm 库 “ua-parser-js” 被黑。该库用于 Facebook、微软、亚马逊、Reddit 和其它科技巨头。

据 Bleeping Computer 分析，被黑的 “coa” 版本中所含的恶意软件和被劫持的 “ua-parser-js” 版本中的代码十分相似，可能说明这两起事件背后的威胁行动者之间存在关联。

分析指出，被黑的 “coa” 版本 2.0.3、2.1.3和其它版本中仅包含可疑的 preinstall 脚本：

"preinstall": "start /B node compile.js & node compile.js"

但从2.0.4版本中才发现完整的恶意代码。预装脚本引用的 “compile.js” 在 coa:2.0.4中存在并运行。“compile.js” 文件中包含混淆的 JavaScript 代码。

该 JavaScript 文件之后启动 Batch 文件，即 “coa” npm 文档中包含的 “compile.bat”。该 Batch 脚本虽然未再次混淆，但在上周发现的虚假 Noblox npm typosquat 中，它将在受感染机器上安装勒索软件和凭据窃取工具。它应用的是混淆的“变量扩展“概念。

该 Batch 文件下载并运行 pastorcryptograph[.]at 的 “sdd.dll”，它和被劫持的 “ua-parser-js” 版本时访的 “sdd.dll” 并不相似。而”rc”恶意版本释放的 “sdd.dll” 和这两个从校验和角度来看又有所不同。但所有的DLLs都植入了相同的恶意软件。