朝鲜升级供应链恶意软件 XORIndex，再次瞄准 npm 生态系统
我要评论Socket威胁研究团队最新披露 ，朝鲜次瞄朝鲜国家支持的升级生态黑客组织在"传染性面试"攻击活动中采用了新型恶意软件加载器XORIndex ，该恶意程序专门通过npm软件包注册表渗透软件供应链 。链恶
此次攻击并非孤立事件 ，意软而是再准针对开发者 、免费模板求职者以及持有加密货币资产或敏感凭证人员的系统持续性攻击行动 。2025年6月至7月期间 ，朝鲜次瞄攻击者向npm注册表上传了67个恶意软件包 ，升级生态其中28个携带XORIndex加载器 。链恶截至报告发布时 ，建站模板意软仍有27个恶意包处于活跃状态 ，再准这些软件包累计下载量已超过1.7万次。系统
XORIndex技术分析该恶意软件因其采用XOR编码字符串和基于索引的朝鲜次瞄混淆技术而得名 ，其攻击流程分为四个阶段：
(1) 收集主机元数据（主机名 、升级生态用户名、云计算链恶IP地址 、地理位置）
(2) 通过硬编码C2服务器传输数据 ，包括 ：
https://log-writter[.]vercel[.]app/api/ipcheckhttps://soc-log[.]vercel[.]app/api/ipcheck(3) 使用eval()执行攻击者提供的JavaScript有效载荷
(4) 加载BeaverTail等第二阶段恶意程序，进而获取已知后门程序InvisibleFerret
数据窃取机制BeaverTail恶意软件会系统扫描以下目标：
加密货币钱包（MetaMask 、Coinbase Wallet等）浏览器扩展程序关键配置文件目录（如/Library/Application Support/Exodus/）macOS钥匙串文件Chromium和Firefox浏览器配置文件收集的服务器租用数据被压缩为ZIP文件上传至http://144[.]217[.]86[.]88/uploads，同时还会在内存中加载执行第三阶段恶意程序InvisibleFerret 。
技术演进路径研究报告详细揭示了XORIndex从基础原型到成熟恶意软件的演变过程 ：
postcss-preloader ：基础信标功能，无混淆措施js-log-print ：增加侦察功能但存在IP处理缺陷dev-filterjs ：引入ASCII缓冲区的字符串级混淆cronek ：完整的高防服务器XOR字符串隐藏 、端点轮换和隐蔽技术安全建议此次攻击活动展现出朝鲜网络攻击行动的日趋成熟 ，其特征包括：
重复使用硬编码C2基础设施模块化加载器架构针对可信开源生态系统的精准打击安全专家建议开发者和开源社区保持高度警惕 ，特别防范通过软件供应链渗透和针对特定人群的源码库定向攻击 。
相关文章
最近，Hackread 分享了一个恶意聊天机器人 WormGPT 的详细信息，该聊天机器人是为帮助网络犯罪分子进行非法活动而创建的。现在，暗网上又出现了一个名为 FraudGPT 的聊天机器人。这是一2025-12-07
AI编程，使用Amazon CodeWhisperer提高生产力
亚马逊在今年4月13日，推出了CodeWhisperer，并向个人用户提供了免费使用的机会。个人版本的CodeWhisperer提供了无限的代码建议、引用跟踪功能，并且每个用户每月还可以免费进行50次2025-12-07
报告称微软 Skype 移动应用存在严重漏洞，可轻易泄露用户 IP 地址
8 月 29 日消息，据404Media.co报道，微软的 Skype 移动应用存在一个严重的漏洞，可能导致黑客通过发送一个链接就能检测到用户的 IP 地址。该漏洞只需利用 Skype 的文本消息功能2025-12-07
最初在进行分析时，研究人员无法获得最初的感染媒介。研究人员怀疑是通过网络钓鱼邮件传播的，因为 RAR 压缩文件名为!PENTING_LIST OF OFFICERS.rar，很可能是邮件的附件。RAR2025-12-07
2022年第十七届中国企业年终评选榜单揭晓：启明星辰天榕数据分类分级与风险合规系统（DSMP-CRCS）荣获2022年度IT行业安全产品创新奖
2022年11月，由51CTO主办的《中国企业“IT印象◆激扬创新动能，掘金数字时代”年终评选》活动全面启动。依托互联网，本次评选活动主要从品牌、产品与技术、解决方案、应用服务等维度进行，通过媒体曝光2025-12-07
网络安全是每个在线企业的重要组成部分。这是一种假设：使用同样的密码，在一天结束后退出浏览器，便认为自己是安全的吗?然而，只要电脑还在运行，黑客就可以访问登录页面并窃取凭证。这就是了解网络安全之前所做的2025-12-07
最新评论