朝鲜升级供应链恶意软件 XORIndex，再次瞄准 npm 生态系统
我要评论Socket威胁研究团队最新披露 ，朝鲜次瞄朝鲜国家支持的升级生态黑客组织在"传染性面试"攻击活动中采用了新型恶意软件加载器XORIndex，该恶意程序专门通过npm软件包注册表渗透软件供应链。链恶
此次攻击并非孤立事件，意软而是再准针对开发者 、建站模板求职者以及持有加密货币资产或敏感凭证人员的系统持续性攻击行动 。2025年6月至7月期间 ，朝鲜次瞄攻击者向npm注册表上传了67个恶意软件包 ，升级生态其中28个携带XORIndex加载器 。链恶截至报告发布时 ，源码库意软仍有27个恶意包处于活跃状态 ，再准这些软件包累计下载量已超过1.7万次 。系统
XORIndex技术分析该恶意软件因其采用XOR编码字符串和基于索引的朝鲜次瞄混淆技术而得名 ，其攻击流程分为四个阶段 ：
(1) 收集主机元数据（主机名、升级生态用户名 、亿华云链恶IP地址 、地理位置）
(2) 通过硬编码C2服务器传输数据 ，包括 ：
https://log-writter[.]vercel[.]app/api/ipcheckhttps://soc-log[.]vercel[.]app/api/ipcheck(3) 使用eval()执行攻击者提供的JavaScript有效载荷
(4) 加载BeaverTail等第二阶段恶意程序，进而获取已知后门程序InvisibleFerret
数据窃取机制BeaverTail恶意软件会系统扫描以下目标 ：
加密货币钱包（MetaMask 、Coinbase Wallet等）浏览器扩展程序关键配置文件目录（如/Library/Application Support/Exodus/）macOS钥匙串文件Chromium和Firefox浏览器配置文件收集的免费模板数据被压缩为ZIP文件上传至http://144[.]217[.]86[.]88/uploads ，同时还会在内存中加载执行第三阶段恶意程序InvisibleFerret 。
技术演进路径研究报告详细揭示了XORIndex从基础原型到成熟恶意软件的演变过程 ：
postcss-preloader ：基础信标功能 ，无混淆措施js-log-print ：增加侦察功能但存在IP处理缺陷dev-filterjs：引入ASCII缓冲区的字符串级混淆cronek ：完整的香港云服务器XOR字符串隐藏 、端点轮换和隐蔽技术安全建议此次攻击活动展现出朝鲜网络攻击行动的日趋成熟 ，其特征包括 ：
重复使用硬编码C2基础设施模块化加载器架构针对可信开源生态系统的精准打击安全专家建议开发者和开源社区保持高度警惕 ，特别防范通过软件供应链渗透和针对特定人群的模板下载定向攻击 。
相关文章
近年来，在技术创新、远程工作和远程医疗文化的推动下，医疗保健行业经历了前所未有的数字化转型，进而增加了网络威胁。OAIC表示，向在线医疗服务的转变要求医疗保健提供商升级其数字后端系统，并优先考虑身份安2025-12-07
在市场经济中，公平竞争是保持市场健康发展的关键要素。而为了维护公平竞争，许多国家设立了反垄断局，以监管和打击垄断行为。本文将深入探讨反垄断局的职责与作用，并解析其对市场秩序的重要影响。反垄断法的基本原2025-12-07
音乐对于我们来说是如此重要，然而，只有优质的耳机才能真正展现出音乐的魅力。在众多耳机品牌中，TFZSeries3S以其出色的音质和令人惊叹的佩戴舒适度而备受好评。本文将深入探索TFZSeries3S的2025-12-07
随着业务每天收集的数据量逐年激增，传统的物理服务器已经无法单独满足业务需求。 相反，许多组织正在转向虚拟化的力量。这是我们创建物理实体的虚拟版本的过程，在计算中，通常指的是数字化应用程序，如虚拟桌面或2025-12-07
随着云存储、软件即服务(SaaS)和人工智能、网络安全等外部产品的激增，管理第三方供应商的风险变得空前紧迫和重要。2023年RSA会议报告发现，87%的受访CISO过去12个月遭受过源自第三方的重大网2025-12-07
戴尔科技PowerScale赋能数据存储和管理 助力企业打破数据壁垒
数据驱动之下，不论是制造、医疗还是金融，新的应用场景不断落地，并不断释放出数据红利。数据在催生大量新兴产业的同时，也成为数字经济的新型生产要素，正不断推动数字经济发展。在钢铁行业，头戴防护镜，手持钢铲2025-12-07
最新评论