npm仓库被渗透，可利用Chrome的账户恢复工具窃取密码-低调大师

npm仓库被渗透，可利用Chrome的账户恢复工具窃取密码

2021-07-26 525

在一场大规模的软件供应链攻击中，一名密码窃取者被发现通过 ChromePass 从 Windows 系统上的 Chrome 窃取凭据。

ChromePass 是一款适用于 Windows 的小型密码恢复工具，可用于查看 Chrome 浏览器存储的用户名和密码。对于每项密码条目，将显示以下信息：源 URL、操作 URL、用户名字段、密码字段、用户名、密码和创建时间。它允许使用者从当前运行的系统或存储在外部驱动器上的用户配置文件中获取密码。

研究人员发现，在 npm 的开源代码仓库中存在一个使用合法密码恢复工具的凭据窃取代码炸弹，它潜伏在仓库中，以伺机植入到从该源提取代码的庞大应用程序中。

研究人员发现被渗透的 npm 仓库会被植入恶意软件，该恶意软件会从 Windows 系统上的 Chrome 浏览器中窃取凭据。该密码窃取器具有多种功能：监听来自攻击者的命令和控制 (C2) 服务器的传入命令，并能上传文件，从受害者的屏幕和摄像头中进行记录，以及执行 shell 命令。

据介绍，主要威胁来自 nodejs_net_server 和 temptesttempfile 这两个软件包。通过静态分析，研究人员在 nodejs_net_server 包的多个版本中发现了 Win32.Infostealer.Heuristics 文件。它的元数据显示该文件的原始名称是"a.exe"，位于 "lib" 文件夹内。研究人员指出，带有类似扩展名的单字母文件名会向威胁猎人发出危险信号。原来，a.exe 正是是上文提到的 ChromePass：一种用于恢复存储在 Chrome 浏览器中的密码的合法工具。

nodejs_net_server 软件包的作者并不是一开始就在里面植入了窃取密码的程序，研究人员发现，作者通过 12 个版本增强了 nodejs_net_server 软件包，直到去年 12 月使用脚本对其进行升级，以植入密码窃取程序。

研究人员于 7 月 2 日联系了 npm 安全团队，告知他们其仓库存在安全威胁的软件包。不过直到这些软件包才被删除。

最后，作为 Web 开发者，你对于使用 npm 软件包有什么建议?还是坚持只使用自己编写的代码，不引入任何第三方包?

本文转自OSCHINA

本文标题：npm 仓库被渗透，可利用 Chrome 的账户恢复工具窃取密码

本文地址：https://www.oschina.net/news/152135/npm-package-steals-chrome-passwords

鸿蒙官方战略合作共建――HarmonyOS技术社区

【责任编辑：未丽燕 TEL：（010）68476606】

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202107/674597.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

企业在勒索软件响应中常犯的十个错误

2021年5月7日，美国最大的燃油管道商Colonial Pipeline遭到勒索软件攻击，由于Colonial Pipeline负责美国东岸多达45%的燃料供应，因此该攻击事件导致该公司暂停了所有的管道作业网络，并于晚间关闭一条主要的燃料传输管道。 5月底，美国最大的牛肉生产商JBS USA也遭到了网络勒索攻击，致使美国和全球的相关企业工厂都被迫关闭。本月初，勒索软件团伙通过远程补丁管理和监控软件 Kaseya VSA 对托管服务提供商(MSP)及其客户发起大规模供应链攻击，影响了全球一千多家企业，瑞典连锁超市Coop也被迫关闭了大约500家商店。可以说，近几个月来，勒索软件攻击对于企业而言简直就像一场挥之不去的梦魇，也引起了公众的关注甚至立法者的注意。美国一些政府官员就开始呼吁国会和政府禁止受害组织向威胁行为者支付赎金。此类禁令旨在将FBI的建议——不要向勒索软件攻击者付款，以免变相鼓励更多的此类行为——编成法典。事实上，支付或不支付赎金一直是一个争论不休的问题。虽然大多数安全专家反对支付赎金，认为这等于是变相鼓励勒索犯罪的行为，但在某些情况下，支付赎金对于企业来说可能利大...

2021-07-26

466

建设安全开放的数据要素市场，可有效解决智能分析与决策场景中的数据割裂、数据安全、系统孤岛等痛点问题。数字化时代，数据无疑是最基本的要素。同盾科技合伙人、人工智能研究院院长李晓林在近日接受《国际金融报》记者专访时表示，数据要素凭借边际成本低、规模效应大、流动性高、可复用性强等区别于传统生产要素的新特点，正在成为引领中国高质量发展的一个新引擎。不过，李晓林发现，数据孤岛已经成为制约AI(人工智能)发展的严重障碍，数据相关产业的发展面临数据安全、数据确权、隐私保护等一系列问题。数字经济时代，如何在保护用户隐私的同时，确保数据可用并创造价值，是值得思考也亟待解决的问题。李晓林建议，着力提升数字技术创新能力，进一步突破AI等技术的基础理论研究及商业应用落地，并重视新兴技术与传统产业的交叉融合;其次，建立数字经济时代的监管和治理体系，加强对隐私保护、数据安全的引导和规范，建立完善的法律、制度和行业标准。提速数据产业数据的价值正逐步凸显。2019年10月，中央明确将数据列为与劳动、资本、技术并列的生产要素。2020年4月，《中共中央国务院关于构建更加完善的要素市场化配置的体制机制的意见》...

2021-07-26

569

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。