微软发现恶意 npm 软件包，可从 UNIX 系统窃取数据-低调大师

微软发现恶意 npm 软件包，可从 UNIX 系统窃取数据

2020-01-14 631

Microsoft 的漏洞研究团队在 npm（Node Package Manager）存储库中发现了一个恶意 JavaScript 程序包，可从 UNIX 系统窃取敏感信息。

该恶意软件包名为 1337qq-js，于 2019 年 12 月 30 日上传到 npm 存储库中。目前，该恶意软件包已被 npm 的安全团队删除。在此之前，该软件包至少被下载了 32 次。

根据 npm 安全团队的分析，该软件包通过安装脚本来泄漏敏感信息，并且仅针对 UNIX 系统。

它收集的数据类型包括：

环境变量
运行过程
/ etc / hosts
优名
npmrc文件

其中，窃取环境变量则被视为重大安全漏洞。npm 团队建议所有在其项目中下载或使用此 JavaScript 程序包的开发人员从其系统中删除该程序包，并轮换使用任何 compromised 的凭据。

事实上，这是恶意软件包第六次被放入 npm 存储库索引，此前的五次分别为：

2019 年 6月 -黑客将电子本地通知库进行后门操作，以插入到达 Agama 加密货币钱包的恶意代码。
2018 年11月 -一名黑客借壳了the event-stream npm 程序包，以将恶意代码加载到 BitPay Copay 桌面和移动钱包应用程序内部，并窃取加密货币。
2018 年 7月 -黑客利用旨在窃取其他开发人员的 npm 凭据的恶意代码破坏了 ESLint 库。
2018年 5月 -黑客试图在名为 getcookies 的流行 npm 包中隐藏后门。
2017 年 4月 -黑客利用敲诈手段在 npm 上载了 38 个恶意 JavaScript 库，这些库被配置为从使用它们的项目中窃取环境细节。

参考消息：ZDNet

微信关注我们

原文链接：https://www.oschina.net/news/112781/microsoft-malicious-javascrip-npm-package-unix-systems

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

经过优化，Python 脚本在 Fedora 32 上的运行速度可提高约 27％

计划于 4 月发布的 Fedora 32 有望给Python 开发者带来惊喜。Fedora 项目的变更介绍页面显示，在构建 Python 解释器时，开发团队添加了-fno-semantic-interposition编译器/链接器标志（compiler/linker flag），它将会显著提升性能，当然具体的性能改进效果取决于工作负载，官方提供的数据是最多可以提升 27%。诸如 nbody，scimark，django，光线跟踪之类的测试用例提升了 20％至 27％的性能，而通过 PyPerformance 测得的性能提高了 5％至 20％。而这给用户带来的变化是他们将不再能够使用 LD_PRELOAD 覆盖来自 libpython 的符号，不过官方认为这是提升速度的不错的折衷方案。根据 GCC 关于语义插入（semantic interposition）标记的文档，“某些对象格式，例如 ELF，允许动态链接器插入符号。这意味着对于从 DSO 导出的符号，编译器无法按预期在执行过程中传播、内联和其他优化，但相关的函数或变量会有变化。尽管该功能很有用，例如，通过调试实现重写内...

2020-01-14

643

近日，好雨科技与天津飞腾信息技术有限公司共同进行了好雨科技旗下云帮RainbondPaaS平台与FT-2000+/64 处理器的测试认证。测试结果表明：在FT-2000+/64 处理器上，云帮PaaS的通用兼容性、运行稳定性、功能可靠性等方面均达到生产要求，能够满足军工、政务等用户的关键性需要。好雨科技立足于“数字业务驱动增长”，打造“以应用为中心”的PaaS平台，通过“无侵入”架构无缝衔接各类企业应用，对接底层任意基础设施，管理企业数字化业务的“开发、架构、交付、运维”应用全生命周期，帮助企业积累建设IT技术中台，加速数字业务快速交付，帮助企业获得面向未来的竞争力和创新力。飞腾公司是一家高速成长中的中国芯片设计企业，致力于“ 飞腾 ”系列国产高性能、低功耗通用计算微处理器的设计研发和产业化推广，坚持“ 核心技术自主创新，产业生态开放联合 ”的发展理念，联合众多国产软硬件生态厂商，提供基于国际主流技术标准、中国自主先进的全国产信息系统整体解决方案，支撑国家信息安全和重要工业安全。此次互认证为好雨科技及天津飞腾提供了巨大的合作空间，双方将持续为军工、政务等领域服务，推进云计算...

2020-01-14

646

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。