已移除，恶意 npm 软件包被发现：利用图像文件隐藏后门代码_科技资讯

创始人

2024-07-17 18:21:25

0次

IT之家 7 月 17 日消息，The Hacker News 昨日（7 月 16 日）发布博文，报道称 npm 软件包列表中发现了 2 个恶意软件包，可以执行从远程服务器发送的恶意命令。

这两个恶意软件包分别为 img-aws-s3-object-multipart-copy和 legacyaws-s3-object-multipart-copy，目前分别已被下载 190 次和 48 次，截至IT之家发稿为止，这两个恶意软件包已被 npm 安全团队清理。

软件供应链安全公司 Phylum 在一份分析报告中说：“这些软件包含隐藏在图像文件中的复杂命令和控制功能，这些命令和控制功能将在软件包安装过程中执行”。

这两个软件包会冒充名为 aws-s3-object-multipart-copy的合法 npm 库，但附带了一个经过修改的“index.js”文件版本，用于执行一个 Java 文件（“loadformat.js”）。

该 Java 文件通过发送主机名和操作系统详细信息，在命令与控制（C2）服务器上注册新客户端，然后会尝试每隔五秒定期执行攻击者发布的命令。

IT之家注：npm 是 Node.js默认的、用 Java 编写的软件包管理系统。

七分钟了解!aapoker是软... 七分钟了解!aapoker是软件(Wepoke稳赢)外挂透明挂辅助测试(2025已更新)(哔哩哔哩)...

专业讨论!((东阳四副牌))外... 专业讨论!((东阳四副牌))外挂辅助工具(透视)辅助系统(2025已更新)(哔哩哔哩)是一款可以让一...

今日百科!((Wepoke透视... 今日百科!((Wepoke透视))外挂透明挂辅助测试!(透视)有挂教会(2023已更新)(哔哩哔哩)...

揭秘攻略!((微扑克))外挂透... 揭秘攻略!((微扑克))外挂透明挂辅助工具!(透视)有挂讨论(2024已更新)(哔哩哔哩);1、完成...

重磅来袭!WPK打法(POKE... 重磅来袭!WPK打法(POKER)外挂透明挂辅助开挂!(透视)有挂套路(2022已更新)(哔哩哔哩)...

二分钟实测!福建天天开心十三水... 二分钟实测!福建天天开心十三水辅助工具(辅助挂)2025已更新外挂辅助工具(哔哩哔哩)；最新版202...

一分钟揭秘!jj斗地主记牌工具... 一分钟揭秘!jj斗地主记牌工具哪里买!太过分了原来一直都是有挂(2024已更新)(哔哩哔哩);一、j...

两分钟猫腻!牌乐门辅助软件免费... 您好，牌乐门辅助软件免费这款游戏可以开挂的，确实是有挂的，需要了解加微【136704302】很多玩家...

重磅来袭!((大咖娱乐))外挂... 重磅来袭!((大咖娱乐))外挂辅助测试(透视)辅助猫腻(2021已更新)(哔哩哔哩)；最新版2024...

3分钟了解!((WPK技巧))... 3分钟了解!((WPK技巧))外挂透明挂辅助透视!(透视)有挂同胞(2021已更新)(哔哩哔哩);亲...