CuteBoi：超过 1200 个 NPM 包加入挖矿逻辑-低调大师

CuteBoi：超过 1200 个 NPM 包加入挖矿逻辑

2022-07-08 428

事件简述

近日，checkmarx 研究人员公开了一起涉及众多包的 NPM 软件供应链攻击事件。

事件最早可以追溯到 2021年12月，攻击者投放了1200多个包含混淆加密的恶意 NPM，这些包含有相同的挖矿脚本 eazyminer，该脚本的目的是利用如 Database 和 Web 等所在服务器的机器闲置资源进行挖矿。

攻击事件分析

攻击手法

CuteBoi 主要依赖 mail.tm 提供的一次性电子邮件服务和免费的邮件获取 API ，攻击者可以通过该 API 在发布包时绕过双因子验证(2FA)，创建大量用户账号。

（图片源自checkmarx.com）

所有已发布的恶意包都使用了 eazyminer 的源代码，该包利用 Web 服务器上未被使用的资源来挖取 Monero 币。

（恶意包中的 eazyminer 调用代码片段）

包中分别包含Linux和Windows中的可执行文件ronbhdcvpqkxwget和ronbhdcvpqkxwget.exe。

（目录中的挖矿程序）

在判断操作系统环境信息后进行调用。

（判断环境信息）

攻击影响

如果开发者安装了这些包，则会在被调用时挖掘 Monero币。由于 eazyminer 的作者在源代码中设置了cpu 优先级（eazyminer）为0，因此挖矿进程不会抢占其他进程的已有资源，不容易被察觉。开发者在检查时认为服务器处于正常运行的状态，但挖矿包很有可能在后台偷偷执行。

（eazyminer原作者的声明）

本周OSCS社区监测到至少3起以上的投毒挖矿事件，建议开发者及时关注。

参考链接

https://checkmarx.com/blog/cuteboi-detected-preparing-a-large-scale-crypto-mining-campaign-on-npm-users/
checkmarx研究人员公开了恶意软件包的列表，恶意包存放地址：

https://cuteboi.info/

了解更多

OSCS （开源软件供应链安全社区）会第一时间发布开源项目最新的安全风险动态，包括开源包安全漏洞、投毒情报等信息，社区用户可通过企微、钉钉、飞书等方式进行订阅。

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/

微信关注我们

原文链接：https://www.oschina.net/news/202358

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Opera 89 稳定版发布

Opera 是一个多平台网络浏览器，由其同名公司 Opera 开发。Opera 如今是一个基于 Chromium 的浏览器。它通过其用户界面和其他功能将自己与其他浏览器区分开来。 Opera 89 正式发布，该版本基于 Chromium 103，具体更新内容如下：改进的 Opera 账户弹出通过 Opera Synchronization，你可以在 Opera 之间同步你的书签、历史或设置。在这个版本中，Opera 改进了注册和登录 Opera Synchronization 的弹出式窗口。其他更新内容：基于 Chromium 103 包括针对 CVE-2022-2294 中提到的 0-day 安全问题的修复 Opera 89 稳定版修复了在书签文件夹中滚动书签时面临的崩溃问题修复在 Linux 上，新的 Opera 账户弹出窗口没有打开在所有流媒体上启用 #opera-account-popup 为可接受的广告实施统计在设置中增加 "不同步数据"选项修复在黑暗模式下闪烁的问题如果有新的同步工具条图标，则隐藏旧的同步工具条图标在隐私窗口中点击用户账户图标时发生崩溃 ...

2022-07-09

425

随着元宇宙概念的爆炸式出现，3D渲染技术再次受到了巨大关注度。沉浸、3D世界、虚拟社交、虚拟购物，这些都是元宇宙的概念实例。就像电影《失控玩家》那样，人们畅想通过AR/VR以及其他互联网技术，把现实世界的楼房街道、天气温度、人际关系等投射到虚拟世界，构建“元宇宙”，拥有一个网络分身。但目前来看，要想实现这一构想，开发者们还有很长一段路要走。毕竟“元宇宙”的背后是庞大的3D虚拟世界构建，需要海量且高质量的3D内容支撑，以还原真实世界。R星引擎的游戏《荒野大镖客》除了游戏世界里各种各样让人拍案叫绝的细节之外，在画质上3D世界渲染的技术细节也仍然让人惊叹。《荒野大镖客2》 3D渲染技术的迭代路线分成了两种技术方案：Native和Web。 Native，是我们的电脑、手机等硬件设备，通过安装本地的应用程序APP，直接通过图形API和相关驱动调用显卡的计算和渲染能力，完成真实物体的3D渲染数字化的过程。 Web，是通过浏览器，在网页页面中，实现现实世界的数字化渲染的过程。资料来源于网络打趣的说，选择Native技术栈还是Web技术栈，这是一个哲学问题。两种技术方案都有自己的优势和劣势，...

2022-07-09

485

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。