Fuente del informe: Comunidad de seguridad de código abierto OSCS
Fecha de actualización: 2022-07-04
Breve descripción del evento
NPM es una herramienta de administración de paquetes de Node.js que proporciona funciones como buscar, descargar, instalar y desinstalar paquetes de Node.js de terceros.
El 4 de julio de 2022, OSCS supervisó y descubrió que btwiuse ha cargado paquetes de componentes maliciosos btwiuse y k0s en el almacén oficial de NPM. Después de usar el paquete de componentes maliciosos, se cargará un troyano de control remoto llamado k0s en la computadora del usuario, que es relativamente dañino 严重OSCS recuerda a la mayoría de los observadores de los desarrolladores.
Análisis detallado
Tomando el componente k0s como ejemplo, su estructura de directorios es la siguiente:
index.js
package.json
Después de introducir el componente, se ejecutará el programa troyano de control remoto y el código peligroso existe en los archivos package.json e index.js.
El código malicioso es el siguiente:
Después de la trazabilidad del código, se puede encontrar que se instalará el servicio de control remoto en la siguiente dirección
https://github.com/btwiuse/k0s.git/
Su dirección de servidor de control remoto es la siguiente
https://k0s.io/
La comunidad de seguridad de código abierto de OSCS recomienda que los usuarios realicen un trabajo de autoinspección y prevención de activos para evitar ser atacados por piratas informáticos.
Consejos de eliminación
La comunidad de seguridad de código abierto de OSCS recomienda a los usuarios solucionar los problemas de las siguientes maneras:
1. Use el comando npm ls o npm ls -g para verificar si hay componentes maliciosos instalados
2. Compruebe si el proyecto package.json hace referencia a componentes maliciosos
Para obtener más información, consulte:
https://www.oscs1024.com/hd/MPS-2022-41934/
línea de tiempo
El 1 de julio, el atacante subió el paquete malicioso de k0s
El 3 de julio, el atacante subió el paquete malicioso de btwiuse
El 4 de julio, OSCS detectó este comportamiento malicioso de envenenamiento de paquetes NPM y el atacante controló el servidor existente.