聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
专栏·供应链安全
数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。
随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。
为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。
注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。
研究人员发现，2021年12月攻击者利用数十个包括混淆 JavaScript 代码的恶意 NPM 模块攻陷了数百个下游桌面应用和网站，发动NPM供应链攻击。
ReversingLabs 公司的研究人员发现，这起攻击活动（被称为“IconBurst”）的幕后威胁行动者使用typosquatting 感染那些寻非常热门程序包如 umbrellajs 和 ionic.io NPM模块的开发人员。
如果被类似的模块命名所愚弄，这些开发人员就会把恶意程序包加载到应用或网站中，导致数据被窃取。例如，该攻击中利用了恶意NPM程序包 icon-package 的下载量达到1.7万次，旨在将序列化形式的数据提取到多个受攻击者控制的域名中。
研究人员指出，IconBurst“依赖的是typo-squatting（攻击者通过公有库提供命名类似于合法程序包或是常见合法程序包的错误拼写的程序包），此外，用于提取数据的域名之间的相似之处表明，这起攻击活动中的多个模块受同一个行动者控制”。
某些恶意模块仍可下载
虽然研究人员在2022年7月1日将情况告知 NPM 安全团队，但目前仍然可从NPM注册表中下载某些 IconBurst 恶意程序包。
研究人员指出，“虽然一些已提到的程序包已从NPM删除，但在本报告撰写期间多数仍可下载。”
虽然研究人员可编译IconBurst 供应链攻击中使用的恶意程序包清单，但其影响仍有待确定，因为无法了解从2021年12月起攻击者到底从应用和网页中窃取了多少数据和凭据。目前的唯一指标是每个恶意 NPM 模块被安装的次数，研究人员目前掌握的数据只是开始。
研究人员指出，“虽然这起攻击的完整影响范围尚不清楚，但我们发现的恶意程序包可能已用于至少数百款下游的移动和桌面应用程序和网站。NPM模块中绑定的恶意代码在数量未知的移动和桌面应用程序和网页中运行，收割数量未知的用户数据。目前团队识别出的NPM模块的下载总量已超过2.7万次。”
代码卫士试用地址：https://codesafe.qianxin.com
开源卫士试用地址：https://oss.qianxin.com
推荐阅读
在线阅读版：《2021中国软件供应链安全分析报告》全文
奇安信开源软件供应链安全技术应用方案获2022数博会“新技术”奖
更好的 DevSecOps，更安全的应用
他坦白：只是为了研究才劫持流行库的，你信吗？
热门PyPI 包 “ctx” 和 PHP库 “phpass” 长时间未更新遭劫持，用于窃取AWS密钥
从美行政令看软件供应链安全标准体系的构建
研究员发现针对 GitLab CI 管道的供应链攻击
五眼联盟：管理服务提供商遭受的供应链攻击不断增多
趁机买走热门包唯一维护人员的邮件域名，我差点发动npm 软件供应链攻击
RubyGems 包管理器中存在严重的 Gems 接管漏洞
美国商务部机构建议这样生成软件供应链 “身份证”
《软件供应商手册：SBOM的生成和提供》解读
和GitHub 打官司？热门包 SheetJS出走npmjs.com转向自有CDN
不满当免费劳力，NPM 热门库 “colors” 和 “faker” 的作者设无限循环
NPM流行包再起波澜：维护人员对俄罗斯用户发特定消息，谁来保证开源可信？
NPM逻辑缺陷可用于分发恶意包，触发供应链攻击
攻击者“完全自动化”发动NPM供应链攻击
200多个恶意NPM程序包针对Azure 开发人员，发动供应链攻击
哪些NPM仓库更易遭供应链攻击？研究员给出了预测指标
NPM 修复两个严重漏洞但无法确认是否已遭在野利用，可触发开源软件供应链攻击
热门NPM库 “coa” 和“rc” 接连遭劫持，影响全球的 React 管道
速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年
25个恶意JavaScript 库通过NPM官方包仓库分发
Pwn2Own大赛回顾：利用开源服务中的严重漏洞，攻陷西部数据My Cloud PR4100
开源网站内容管理系统Micorweber存在XSS漏洞
热门开源后端软件Parse Server中存在严重的 RCE ，CVSS评分10分
开源组件11年未更新，严重漏洞使数百万安卓按设备易遭远程监控
开源工具 PrivateBin 修复XSS 漏洞
奇安信开源组件安全治理解决方案——开源卫士
原文链接
https://www.bleepingcomputer.com/news/security/npm-supply-chain-attack-impacts-hundreds-of-websites-and-apps/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
