千万级月下载量的 NPM 包 ua-parser-js 被恶意劫持-低调大师

千万级月下载量的 NPM 包 ua-parser-js 被恶意劫持

2021-10-24 840

2021 年10月22日，Npm 官方仓库 ua-parser-js 被恶意劫持，多个版本被植入了挖矿脚本。

ua-parser-js 包是一个 JavaScript 库，用于从User-Agent 中解析出浏览器、引擎、操作系统、CPU 和设备类型/模型等相关的设备信息，被广泛应用于JavaScript开发。这个库非常受欢迎，每周下载数百万次，本月下载量超过 2400 万次，被用于一千多个项目，包括 Facebook、微软、亚马逊、Instagram、谷歌、Slack、Mozilla、Discord、Elastic、Intuit、Reddit 等公司的项目。

攻击过程

10 月 22 日，攻击者劫持了 NPM 某位开发者的账号，并发布了恶意版本的 ua-parser-js NPM 库，这个库会在 Linux 和 Windows 设备上自动安装矿工程序和盗取密码的木马。

受感染的软件包安装在用户的设备上时，preinstall.js 脚本会检查设备上使用的操作系统类型，然后启动 Linux shell 脚本或 Windows 批量处理文件。

如果软件包在 Linux 设备上，它将执行 preinstall.sh 脚本，来检查用户是不是在俄罗斯、乌克兰、白俄罗斯和哈萨克斯坦这几个地方，不在的话就从 http://159.148.186.228/download/jsextension 下载 jsextension 程序来挖矿。jsextension 是一个门罗币挖矿程序，为了避免被及时侦测到，它只会占用设备 50% CPU。

如果软件包在 Windows 设备上，它也会自动下载 jsextension.exe ，除了这个自动挖矿工具，它还会下载 sdd.dll 文件，这个文件会被命名为 create.dll 。这个 DLL 是一个盗号木马，会尝试偷取存储在设备上的密码，包括 FTP 客户端、VNC、聊天软件、电子邮件客户端和浏览器等等，DLL 还会执行 PowerShell 脚本从 Windows 证书管理器中窃取密码。

如何预防/补救？

建议所有使用 ua-parser-js 库的用户都检查一下自己的项目有没有被感染。

确认于2021 年 10 月 22 日是否安装或更新过 ua-parser-js 包。
确认是否有相关组件依赖于 ua-parser-js 包。
检查设备里有没有 jsextension.exe (Windows) 或 jsextension (Linux)，并彻底删除。
Windows 用户请查找 create.dll 文件并彻底删除。

已经受感染的 Linux 和 Windows 用户，所有在被感染设备登陆过的账号，都要更改密码！

微信关注我们

原文链接：https://www.oschina.net/news/165579/npm-ua-parser-js-is-compromised

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

云栖发布｜阿里云消息队列 RocketMQ 5.0 正式发布

官宣：阿里云新一代 RocketMQ “消息、事件、流”融合处理平台今天发布阿里云消息队列 RocketMQ 版 5.0，我们称之为一站式“消息、事件、流”融合处理平台。新版本核心诞生两大新亮点，首先是消息核心场景的扩展和布局，RocketMQ 5.0 不再局限于消息解耦场景，将全新布局事件驱动和消息流式处理场景；其次则是一站式融合处理的技术架构和趋势。 “消息、事件、流”一站式融合处理的技术架构可以实现一份消息存储，支持消息的流式计算、异步投递、集成驱动多种场景，极大地降低业务人员运维多套系统的技术复杂度和运维成本。可以说，无论是微服务的指令调用、异步通知，还是 CDC 变更日志、行为埋点数据，亦或是资源运维、审计事件，统一的 RocketMQ5.0 产品栈都能统一处理。重大发布一：RocketMQ 基础架构全新升级首先，最重要的升级是阿里云 RocketMQ 的技术架构全面焕新。全新的 RocketMQ5.0 版将通用的存储逻辑下沉，集中解决消息存储的多副本、低延迟、海量队列分区等技术问题，将上层的消息处理和剥离出完全的无状态计算层，主要完成协议适配、权限管理、消费状态、...

2021-10-24

602

网络攻击并不只针对大型企业，多数中小型企业也难以避免入侵。许多中小型企业会因为防护措施做不到位，导致网络攻击带来的惨重损失。对于非网络安全的中小型企业而言，通常不设有安全部门和安全技术人员，加上缺乏对网络安全的关注使得其更容易被黑客入侵。毕竟人人都觉得危险离自己遥远，当危险来临时发现一切已为时已晚。事物的发展必然存在两面性，互联网给我们生活和工作带来方便的同时，也给病毒和黑客见缝插针的机会，不论是大型企业还是网络安全企业，谁也不能幸免，何况是中小型企业。在网络攻击肆掠横行的今天，还是有许多办法对其进行防范，尽管危险不能完全规避，但能在一定程度上降低安全风险和损失。一、保证IT资产处于最新状态陈旧的配置会加大网络安全风险，给网络攻击者可乘之机，定期对公司内部IT资产配置或策略进行更新，保证IT基础设施处于最新状态。假如企业内部没有相关IT人员，可外包专业网络安全公司安全人员进行安全检查，帮忙更新配置，还可对其进行安全加固，并提供防护建议。二、加强公司数据保护 (1) 要养成备份的习惯。备份不仅可以保护您免受重要文件的意外丢失，还可以保护您免受勒索软件攻击。一旦遭受勒索攻击，基本...

2021-10-24

521

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。