內容字號:默認大號超大號

段落設置:取消段首縮進段首縮進

字體設置:切換到微軟雅黑切換到宋體

業界軟件
手機數碼
電腦學院
測評圖賞
視頻游戲
原創直播
AI5G
蘋果微軟
iPhone之家Win10之家
精準搜索請嘗試:精確搜索

微軟發現惡意 npm JavaScript包,可從 UNIX 系統竊取數據

2020/1/14 9:49:31來源:開源中國作者:白開水不加糖責編:騎士評論:

Microsoft 的漏洞研究團隊在 npm(Node Package Manager) 存儲庫中發現了一個惡意 JavaScript 程序包,可從 UNIX 系統竊取敏感信息。

該惡意軟件包名為 1337qq-js,于 2019 年 12 月 30 日上傳到 npm 存儲庫中。目前,該惡意軟件包已被 npm 的安全團隊刪除。在此之前,該軟件包至少被下載了 32 次。

根據 npm 安全團隊的分析,該軟件包通過安裝腳本來泄漏敏感信息,并且僅針對 UNIX 系統。

它收集的數據類型包括:

  • 環境變量

  • 運行過程

  • / etc / hosts

  • 優名

  • npmrc文件

其中,竊取環境變量則被視為重大安全漏洞。npm 團隊建議所有在其項目中下載或使用此 JavaScript 程序包的開發人員從其系統中刪除該程序包,并輪換使用任何 compromised 的憑據。

事實上,這是惡意軟件包第六次被放入 npm 存儲庫索引,此前的五次分別為:

  • 2019 年 6月 -黑客將電子本地通知庫進行后門操作,以插入到達 Agama 加密貨幣錢包的惡意代碼。

  • 2018 年11月 -一名黑客借殼了the event-stream npm 程序包,以將惡意代碼加載到 BitPay Copay 桌面和移動錢包應用程序內部,并竊取加密貨幣。

  • 2018 年 7月 -黑客利用旨在竊取其他開發人員的 npm 憑據的惡意代碼破壞了 ESLint 庫。

  • 2018年 5月 -黑客試圖在名為 getcookies 的流行 npm 包中隱藏后門。

  • 2017 年 4月 -黑客利用敲詐手段在 npm 上載了 38 個惡意 JavaScript 庫,這些庫被配置為從使用它們的項目中竊取環境細節。

相關文章

關鍵詞:npm,UNIX,JavaScript

IT之家,軟媒旗下科技門戶網站 - 愛科技,愛這里。

Copyright (C)RuanMei.com, All Rights Reserved.

軟媒公司版權所有    

北京快乐8官网