恐怖如斯！发现有攻击者使用 NPM 包从本机窃取 SSH 密钥！
我要评论软件威胁研究人员上月初（2024 年 1 月）发现有恶意 NPM 软件包 ，恐怖会窃取电脑的攻击 SSH 密钥并上传至 Github 。
幸运的用N钥是 Github 在 1 月初发现后在没有被大面积扩散之前已从 NPM 注册表中删除了两个软件包：warbeast2000和kodiak2k
详细了解下它们做了什么？
warbeast2000
以下代码不是很复杂 ，一旦将其包安装到自己的包从本机电脑上后，会做以下几件事：
启动一个安装后的恐怖脚本读取 home 目录下的/.ssh/id_rsa文件（代码 L10 行定义的路径 filePath，代码 L13 行使用 Node.js API 从本地文件系统获取私钥信息）对获取到的攻击密钥 base64 编码并上传至攻击者的高防服务器 Github 仓库
这段代码看完 ，真是用N钥恐怖如斯！id_rsa是包从本机ssh-keygen生成的 SSH 密钥默认文件 ，在 Windows 、恐怖MacOS 、攻击Linux、用N钥Unix 系统上是包从本机一个标准文件名了 ，开发者通常使用它访问自己的恐怖私有仓库，例如 Github、亿华云攻击Gitlab 等。用N钥
要注意的是，除了 id_rsa 是默认的文件名 ，.ssh 这个文件夹也是可以访问的 ，意味这该文件夹下的内容也是可以被全部窃取的 。服务器租用很显然 ，“这个攻击者的软件包很可能还处于开发中...”
好在 ，该软件包已于 1 月 3 日左右被报告给了 NPM 管理员，并且已被删除 。
kodiak2k
warbeast2000被发现后的不久，1 月 5 日又发现一个类似的软件包kodiak2k ，与上面代码类似都会获取本机 ssh 密钥，不同的是该软件似乎在攻击一个具体的名为meow的源码下载用户 。
上次刚发现有人将武林外传 上传至 NPM 仓库 ，当免费网盘使用 ，这次竟有人恶意利用 NPM、Github 窃取用户的 SSH 密钥 ，幸运的是这次发现的早，影响范围有限 。warbeast2000 软件包的下载量略低于400次 ，而 kodiak2k 的模板下载下载量约为950次 。
从侧面也反映出 NPM 、Github 被滥用的行为正在扩大，不知不觉中也会影响到我们每个人 。本次事件也应引起我们大家的注意，开发人员和开发组织在选择一些 NPM 包时也需要进行安全评估 。
这种事件并非 NPM 独有 ，Python 的包管理 PyPI 也曾受到恶意包的困扰 ，参考 https://www.scmagazine.com/brief/info-crypto-stealing-python-packages-proliferate。
本文参考 https://www.reversinglabs.com/blog/gitgot-cybercriminals-using-github-to-store-stolen-data。建站模板
相关文章
72%美企高管自曝成网络攻击目标，27%攻击涉及AI深度伪造
根据GetApp日前发布的一份调查报告，在过去18个月里，美国将近四分之三的企业高管成为网络攻击者的主要目标。这项调查发现，72%的高管发现自己成为了网络犯罪分子的攻击目标。而在这些网络攻击中，27%2025-12-07
作为一名游戏爱好者，选择一台高性能的笔记本电脑是非常重要的。宏基笔记本i5以其强大的性能和出色的游戏体验，成为了许多玩家的首选。本文将详细介绍宏基笔记本i5在游戏方面的表现，从硬件配置到游戏流畅度，为2025-12-07
VivoY51a（探索VivoY51a的出色性能和卓越品质）
在当今手机市场上，VivoY51a以其卓越的性能和优质的品质受到了广泛关注。作为一款中高端手机，VivoY51a在多个方面都表现出色，包括强大的处理能力、高清的显示效果和持久的电池寿命。本文将对Viv2025-12-07
索尼Z4防水效果揭秘！（一起来探究索尼Z4防水性能如何吧！）
索尼Z4作为一款备受瞩目的手机产品，其防水功能备受关注。本文将就索尼Z4的防水效果进行深入分析，以揭示它在水下环境中的真实表现。IP等级认证—索尼Z4防水性能的保障在第一部分中，我们将介绍索尼Z4的I2025-12-07
规范对数据的访问是数据治理的最重要方面之一。因此，数据访问管理已经演变成一项独立的计划，需要自主的战略、预算和实施计划。在许多方面，数据访问管理或数据访问治理可以被认为是数据治理计划的最重要成果，因为2025-12-07
随着5G技术的不断进步，华为天际通作为一种新兴的通信方式，正逐渐引起人们的关注。本文将从多个方面介绍华为天际通的特点和应用，并探讨其在未来智能互联时代的潜力。华为天际通的起源和背景华为天际通作为华为公2025-12-07
最新评论