首起针对国内金融企业的开源组件投毒攻击事件

原创

已于 2023-08-15 17:46:51 修改 · 2.2k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#金融 #阿里云

于 2023-08-15 16:09:44 首次发布

2023年8月，NPM仓库中的ws-paso-jssdk组件被发现携带远控脚本，攻击者利用pingan-vue-floating等恶意组件针对国内企业进行投毒，通过C2服务器执行系统命令。墨菲安全提供产品工具帮助检测和拦截此类攻击。

简述

2023年8月9日，墨菲监控到用户名为 snugglejack_org (邮件地址：SnuggleBearrxx@hotmail.com）的用户发布到 NPM 仓库中的 ws-paso-jssdk 组件包具有发向 https://ql.rustdesk[.]net 的可疑流量，经过确认该组件包携带远控脚本，从攻击者可控的 C2 服务器接收并执行系统命令，该组件包于2023年8月10日7点 21 分从 NPM 仓库下架。

经过持续跟踪发现，该投毒者继续向 NPM 仓库继续发布了 pingan-vue-floating 等类似恶意组件包，投毒包的恶意 C2 地址改为了 62.234.32.226 ，此 IP 为以北京腾讯云提供，并且投毒包以 pingan、ynf 等命名，很大几率是针对国内厂商(例如中国*安)，投毒者通过模拟目标企业内部私有源组件命名进行混淆，进而通过诱导用户企业内部用户下载投毒组件包实现对目标机器的远控入侵，这是目前公开发现的首起针对国内金融企业的开源组件投毒攻击事件。

截至2023年8月14日，投毒包仍可在NPM腾讯源进行下载(见图1)，用户可通过 npm ls 判断是否下载了恶意组件，批量检测投毒检测可联系墨菲安全使用产品工具进行全网一键排查，最近正值大型攻防演练，建议大家认真排查。