摘要：近日，网络安全研究人员发现了一起供应链攻击，该攻击极具针对性的向与GlueStack相关的十多个软件包植入恶意软件。
近日，网络安全研究人员发现了一起供应链攻击，该攻击极具针对性的向与GlueStack相关的十多个软件包植入恶意软件。
安全公司Aikido Security向The Hacker News透露，恶意软件通过篡改"lib/commonjs/index.js"，使攻击者能够在受感染的机器上执行shell命令、截取屏幕截图和上传文件。目前，这些受影响的软件包每周下载量总计接近100万次。
Part01攻击情况简介
攻击者获得未授权访问权限后，可进一步执行多种操作，例如挖掘加密货币、窃取敏感信息，甚至关闭服务。安全公司Aikido表示，首次检测到软件包遭篡改的时间为北京时间2025年6月7日5:33，受影响的软件包及其版本列表如下：
@gluestack-ui/utils 0.1.16 版（下载量 101 次）
@gluestack-ui/utils 0.1.17 版（下载量 176 次）
@react-native-aria/button 0.2.11 版（下载量 174 次）
@react-native-aria/checkbox 0.2.11 版（下载量 577 次）
@react-native-aria/combobox 0.2.8 版（下载量 167 次）
@react-native-aria/disclosure 0.2.9 版（下载量未知）
@react-native-aria/focus 0.2.10 版（下载量 951 次）
@react-native-aria/interactions 0.2.17 版（下载量 420 次）
@react-native-aria/listbox 0.2.10 版（下载量 171 次）
@react-native-aria/menu 0.2.16 版（下载量 54 次）
@react-native-aria/overlay 0.3.16 版（下载量 751 次）
@react-native-aria/radio 0.2.14 版（下载量 570 次）
@react-native-aria/slider 0.2.13 版（下载量 264 次）
@react-native-aria/switch 0.2.5 版（下载量 56 次）
@react-native-aria/tabs 0.2.14 版（下载量 170 次）
@react-native-aria/toggle 0.2.12 版（下载量 589 次）
@react-native-aria/utils 0.2.13 版（下载量 341 次）
此外，注入这些软件包的恶意代码与上个月另一个npm包“rand-user-agent”遭入侵后传播的远程访问木马（RAT）相似，这表明幕后的攻击者可能是同一伙人。此次发现的木马是一个全新版本，支持两条新命令用于收集系统信息 (ss_info) 和主机的公网IP地址 (ss_ip)。
项目维护者已撤销了相关访问令牌，并将受影响的版本标记为已弃用。可能已下载恶意版本的用户建议回滚到安全版本以规避潜在威胁。
安全公司Aikido Security在一份声明中表示：“此次攻击的潜在影响规模巨大，恶意软件的持久化机制令人担忧。即使维护者更新了软件包，攻击者仍能维持对受感染机器的访问。”
Part02npm出现两个恶意软件包
均具备破坏性功能
与此同时，软件供应链安全公司Socket同样发现了两个流氓npm包：express-api-sync和system-health-sync-api。它们伪装成合法实用工具，实则植入擦除器（wiper），能够删除整个应用程序目录。这两个软件包由账户 “botsailer”发布，在被下架前分别被下载了112次和861次。
其中，express-api-sync自称是一个用于在两个数据库之间同步数据的 Express API。然而，一旦被毫无戒心的开发者安装并添加到其应用程序中，它在收到包含硬编码密钥 “DEFAULT_123” 的HTTP请求时，就会触发恶意代码的执行。收到密钥后，它会删除当前目录及其子目录下的所有文件，包括源代码、配置文件、资源和本地数据库。
另一个软件包system-health-sync-api则复杂得多，兼具信息窃取和擦除功能，并且会根据操作系统是Windows还是Linux来修改其删除命令。
安全研究员Kush Pandya指出：“如果说express-api-sync是钝器，那么system-health-sync-api就是一把集情报收集功能于一体的瑞士军刀。”
该npm包的一个显著特点是使用电子邮件作为隐蔽通信通道，通过硬编码的SMTP凭证连接到攻击者控制的邮箱。密码使用Base64编码进行混淆，而用户名指向一个域名与印度某房地产公司相关的邮箱地址。Socket表示：“每个重要事件都会触发一封电子邮件。邮件包含完整的后端 URL，可能暴露本不应公开的内部基础设施细节、开发环境或预发布服务器。”
利用SMTP进行数据外泄非常隐蔽，因为大多数防火墙不会阻止出站电子邮件流量，这使得恶意流量可以混在合法的应用程序邮件中。
/_/system/health/_/sys/maintenancePandya解释说：“攻击者首先通过GET /_/system/health验证后门，该请求会返回服务器的主机名和状态。如果配置了测试模式（dry-run mode），他们可以进行测试，然后使用POST /_/system/health或备用的POST /_/sys/maintenance端点执行破坏操作。”
这两个新npm包的发现表明，威胁行为者正开始超越利用虚假库进行信息窃取和加密货币盗窃，转向专注于系统破坏（sabotage）——这并不寻常，因为此类攻击不会带来直接经济利益。
Part03PyPI软件包
伪装Ins用户增长工具窃取凭证
软件供应链安全公司Socket还发现，PyPI存储库上出现了一个新的基于Python的凭证窃取工具imad213，它伪装成Ins用户增长工具，目前已被下载3,242次。
Pandya表示：“该恶意软件使用Base64编码隐藏其真实本质，并通过Netlify托管的控制文件实现远程终止开关（kill switch）。执行时，它会提示用户输入Instagram凭证，并将这些凭证广播到十个不同的第三方机器人服务，假装在提升粉丝数量。”
这个Python库是由名为im_ad__213（又名 IMAD-213）的用户上传的，该用户于2025年3月21日注册，并上传了另外三个软件包：taya 和 a-b27 可窃取Facebook、Gmail、Twitter和VK的凭证；poppo213则利用Apache Bench针对流媒体平台和API发起分布式拒绝服务（DDoS）攻击。
在IMAD-213发布的一份GitHub文档中，该威胁行为者声称该库主要用于“教育和研究目的”，并注明其对任何滥用行为概不负责。此外，GitHub描述中还包含一条“具有欺骗性的安全提示”，敦促用户使用虚假或临时的Instagram帐户，以避免其主帐户出现问题。
Pandya指出：“这制造了一种虚假的安全感，用户以为自己很谨慎，却仍在将有效的凭证交给攻击者。”
定向恶意软件的发展趋势
软件供应链安全公司Socket表示：“凭证窃取工具的出现揭示了社交媒体定向恶意软件的令人担忧趋势。由于有十个不同的机器人服务接收凭证，我们看到了凭证洗白（credential laundering）的早期迹象——被盗的登录凭证被分发到多个服务中以掩盖其来源。”参考来源：
New Supply Chain Malware Operation Hits npm and PyPI Ecosystems, Targeting Millions Globallyhttps://thehackernews.com/2025/06/new-supply-chain-malware-operation-hits.html
来源：FreeBuf
