17 个新的恶意 npm 包试图窃取 Discord 令牌-低调大师

17 个新的恶意 npm 包试图窃取 Discord 令牌

2021-12-11 631

DevOps 安全公司 JFrog 在 npm（Node.js 包管理器）存储库中发现了 17 个新的恶意软件包，故意试图攻击和窃取用户的 Discord 令牌。根据介绍，这些包的有效载荷多种多样，从信息窃取程序到完整的远程访问后门。此外，这些包还具有不同的感染策略，包括域名抢注、依赖混淆和木马功能。

Discord 是一个流行的数字通信平台，拥有超过3.5亿注册用户，可以通过语音通话、视频通话、文本消息和媒体文件（或其他任意文件）进行通信。Discord 令牌是访问 Discord 服务器的授权码，实际上是一个用户凭证。JFrog 安全研究高级主管 Shachar Menashe 和 Andrey Polkovnychenko 在公告中指出，通过劫持用户的 Discord 令牌，攻击者就可以完全控制用户的 Discord 帐户。

“这种类型的攻击如果执行得好，会产生严重的影响。而且在这种情况下，公共黑客工具使这种攻击变得足够容易，即使是黑客新手也可以执行。”

JFrog 向 npm 代码维护者进行了披露，目前这些恶意包已在积累大量的下载量之前从 npm 存储库中进行了删除。

JFrog 方面表示，其最近发现了大量的 Discord 令牌抓取恶意软件。而鉴于这种攻击有效载荷的流行，GitHub 上也发布了很多带有构建说明的 Discord 令牌抓取器。攻击者可以利用这些模板之一，开发定制的恶意软件，而不需要大量的编程技能 —— 这意味着任何新手黑客都可以在几分钟内轻松做到这一点。

JFrog 指出，其最近已经目睹了通过开源软件存储库托管和交付的一系列恶意软件。并得出结论称，PyPI 和 npm 等公共存储库已成为恶意软件分发的便捷工具：存储库的服务器是受信任的资源，与其通信不会引起任何反病毒或防火墙的怀疑。此外，通过 npm 客户端等自动化工具轻松安装，提供了一个成熟的攻击媒介。

JFrog 建议组织采取预防措施并管理他们使用 npm 进行软件策划，以降低将恶意代码引入其应用程序的风险。

微信关注我们

原文链接：https://www.oschina.net/news/173147/malicious-npm-packages-discord-tokens

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Flatseal —— Flatpak 应用权限管理工具

Flatseal 是一个图形实用程序，用于查看和修改Flatpak应用程序的权限，这一方法比通过命令容易得多。Flatseal 列出了所有已安装的 Flatpak 应用程序。当选择一个应用时，可以看到所有权限，并对应用权限进行启用/禁用。用法只需启动 Flatseal，选择一个应用程序并修改其权限。进行更改后重新启动应用程序。如果出现任何问题，只需按重置按钮即可。下载 https://flathub.org/apps/details/com.github.tchx84.Flatsea 自己构建 git clone https://github.com/tchx84/Flatseal.git cd Flatseal flatpak install org.gnome.{Platform,Sdk}//41 flatpak-builder --user --force-clean --install build com.github.tchx84.Flatseal.json flatpak run --branch=master com.github.tchx84.Flatseal...

2021-12-11

1074

作为 x86 和 ARM 的新兴竞争对手，RISC-V 一直以免费、模块化等特性抢占低端硬件市场。据theregister 报导，目前RISC-V International （开发RISC-V 的RISC-V 基金会）正在努力为RISC-V 设计对应的开源 GPU （图形处理器）。消息来源于RISC-V 首席技术官 Mark Himelstein ，其宣称明年 RISC-V 的特殊兴趣小组将重点关注对着色器（shaders）和高级矩阵运算（advanced matrix operations）的扩展，这些图形处理的扩展主要用于人工智能和机器学习方向，但着色器这玩意是用来实现图像渲染的，也就是说对它的扩展也适用于游戏和图形设计。事实上，现在市场上也有一些公司开始关注 RISC-V 和 GPU 的组合，如英国芯片设计商 Imagination Technologies（为 iPhone 提供powerVR 图形处理器），其首席营销官大卫·哈罗德 (David Harold) 表示：其旗下的 GPU 将与 RISC-V 配合使用，带有光线追踪功能的 C 系列 GPU 能完全与 RISC...

2021-12-11

537

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。