网安瞭望台第6期 ：XMLRPC npm 库被恶意篡改、API与SDK的区别

     XMLRPC npm 库被恶意篡改，窃取数据并部署加密货币挖矿程序

    网络安全研究人员发现了一起在 npm 包注册表上活跃了一年多的软件供应链攻击。名为 @0xengine/xmlrpc 的 npm 包最初是一个无害的库，基于 JavaScript，用于 Node.js 的 XML - RPC 服务器和客户端，2023 年 10 月 2 日发布，至今已被下载 1790 次。然而在发布一天后的 1.3.4 版本中被植入恶意代码。

    恶意行为如下：数据窃取，恶意代码每 12 小时收集一次诸如 SSH 密钥、bash 历史记录、系统元数据和环境变量等敏感信息，并通过 Dropbox 和 file.io 等服务将其泄露出去。传播途径，其攻击有多种传播途径，包括直接通过 npm 安装，以及作为隐藏依赖项存在于看似合法的存储库中。例如，GitHub 上一个名为 yawpp 的项目（声称是用于在 WordPress 平台上编程创建帖子的工具），其 “package.json” 文件将 @0xengine/xmlrpc 的最新版本列为依赖项，用户在安装 yawpp 工具时就会自动下载安装这个恶意 npm 包。目前尚不清楚 yawpp 工具的开发者是否故意添加此依赖项。

    该恶意软件一旦安装，就会收集系统信息，通过 systemd 在主机上建立持久性，并部署 XMRig 加密货币挖矿机。目前发现有多达 68 个受感染系统正在通过攻击者的门罗币钱包进行挖矿。

    它还能持续监控运行进程列表，若发现 top、iostat、sar、glances、dstat、nmon、vmstat 和 ps 等命令，就会终止所有与挖矿相关的进程，并且如果检测到用户活动，会暂停挖矿操作。

    与此同时，Datadog Security Labs 发现了一场针对 Windows 用户的恶意活动，涉及上传到 npm 和 Python Package Index（PyPI）存储库的假冒包，目的是部署 Blank - Grabber 和 Skuld Stealer 开源窃取恶意软件。上个月检测到该供应链攻击，将其命名为 MUT - 8694。攻击者上传了 18 个和 39 个假冒的独特包到 npm 和 PyPI，这些库试图通过拼写错误（typosquatting）技术伪装成合法包，且似乎在针对 Roblox 开发者。

网络犯罪分子利用热门游戏引擎Godot

分发跨平台恶意软件

自2024年6月起，一种名为GodLoader的恶意软件活动正在滥用热门开源游戏引擎Godot Engine，感染了超过17000个系统。

网络犯罪分子利用Godot Engine执行特制的GDScript代码，这些代码会触发恶意命令并传播恶意软件。而且这种技术在VirusTotal上几乎未被所有杀毒引擎检测到。

Godot Engine支持多平台开发（包括Windows、macOS、Linux、Android、iOS、PlayStation、Xbox、Nintendo Switch和网页），这一特性使其成为攻击者手中极具吸引力的工具，能够大规模地针对和感染不同设备，拓宽了攻击面。

    该活动利用了“Stargazers Ghost Network”（大约200个GitHub仓库和225个以上虚假账号）来分发GodLoader。这些账号会给分发GodLoader的恶意仓库点赞，使其看起来合法且安全。这些仓库分四波发布，主要针对开发者、游戏玩家和普通用户。

    在2024年9月12日、9月14日、9月29日和10月3日观察到的攻击中，攻击者使用Godot Engine可执行文件（即.pck文件）来植入加载器恶意软件，然后该加载器从Bitbucket仓库下载并执行最终阶段的恶意负载，如RedLine Stealer和XMRig加密货币挖矿机。

    目前，这组攻击涉及攻击者构建自定义的Godot Engine可执行文件来传播恶意软件，但如果攻击者在获取用于提取.pck文件的对称加密密钥后篡改合法的Godot游戏，威胁可能会进一步升级。不过，通过切换到依赖公钥和私钥对来加密/解密数据的非对称密钥算法，可以避免这种攻击。

    这一恶意活动再次提醒我们，威胁行为者经常利用合法服务和品牌来逃避安全机制，因此用户必须只从可信来源下载软件。攻击者利用了Godot的脚本功能来创建未被许多常规安全解决方案检测到的自定义加载器，其跨平台的攻击方式增强了恶意软件的通用性，使威胁行为者能够轻易地针对多个操作系统进行攻击，更有效地在各种设备上传播恶意软件，扩大其影响范围。