5、软件供应链攻击：恶意软件包剖析与建筑自动化攻击评估

软件供应链攻击：恶意软件包剖析与建筑自动化攻击评估

1. 恶意软件包的注入与目标

1.1 注入技术

恶意软件包的注入主要有两种方式：
- 接管开发者账户更新现有包 ：攻击者需先接管开发者或发布者的账户，之后将包含恶意内容的更新推送给大量已使用该包并依赖其功能的用户。若未使用版本锁定且依赖项自动更新，这种攻击尤为危险。
- 创建特洛伊木马包 ：创建全新的恶意软件包，这类包可能是为进一步攻击做准备，可与受感染的现有包结合使用，也可单独使用。

1.2 主要目标

恶意软件包的主要目标如下表所示：
| 目标类型 | 占比 | 示例 |
| — | — | — |
| 数据渗透 | 55% | 窃取 /etc/passwd 、 ~/.ssh/* 、 ~/.npmrc 、 ~/.bash_history 等文件内容，以及环境变量和系统信息；窃取 Discord 语音和文本聊天应用的令牌 |
| 下载第二阶段有效负载 | 34% | - |
| 打开后门 | 5% | 建立反向 shell 到远程服务器，等待进一步指令，将受害者变为僵尸，用于 DDoS 攻击 |
| 拒绝服务 | 3% | 通过 fork 炸弹和文件删除耗尽资源（如 npm/destroyer-of-worlds/1.0.0 ），或破坏其他包的功能（如 npm/load-from-cwd