逾4.6万个虚假npm包以蠕虫式垃圾攻击淹没注册库
内容提要
自2024年初，npm注册库遭遇大规模垃圾攻击，数万个虚假软件包被注入，攻击者利用印尼人名和食品术语命名，意图淹没注册库，造成资源浪费和供应链风险。
关键要点
-
自2024年初，npm注册库遭遇大规模垃圾攻击，数万个虚假软件包被注入。
-
攻击者利用印尼人名和食品术语命名软件包，意图淹没注册库。
-
这场攻击持续了两年，发布了多达46,484个软件包，目的是用随机生成的软件包淹没npm注册库。
-
攻击采用蠕虫式传播机制，虚假软件包伪装成Next.js项目，手动触发脚本以规避自动化检测。
-
垃圾包通过'npm publish'命令被上传，导致注册库资源的大规模消耗。
-
该活动与加密货币挖矿活动有关，攻击者可能通过人为提升影响分数获取TEA代币。
-
安全扫描器未能检测到这些恶意软件包，显示出其盲区。
-
GitHub已移除相关软件包，并将持续检测和分析违规行为。
延伸解读
攻击的潜在影响
此次npm注册库的垃圾攻击不仅导致了大量虚假软件包的涌入，还可能对开发者的工作流程造成严重干扰。开发者在使用npm时，可能会误安装这些恶意包，从而引发供应链风险，影响项目的安全性和稳定性。
安全检测的盲区
此次事件暴露了现有安全扫描器的盲区，传统检测方法未能识别手动触发的恶意代码。这提示开发者和安全团队需要更新检测策略，关注软件包的依赖关系和使用模式，以提高对新型攻击的防范能力。
与加密货币的关联
研究表明，此次攻击与加密货币挖矿活动有关，攻击者可能通过发布虚假软件包来提升TEA代币的影响分数。这一现象提醒开发者在使用开源软件时，需警惕潜在的经济动机背后的风险。
延伸问答
npm注册库遭遇了什么类型的攻击？
npm注册库遭遇了大规模的垃圾攻击，数万个虚假软件包被注入。
攻击者是如何命名虚假软件包的？
攻击者使用印尼人名和食品术语为虚假软件包命名。
这场攻击持续了多长时间？
这场攻击持续了两年，发布了多达46,484个软件包。
攻击者的最终目标是什么？
攻击者的目标是用随机生成的软件包淹没npm注册库，造成资源浪费。
这些虚假软件包是如何传播的？
攻击采用蠕虫式传播机制，虚假软件包伪装成Next.js项目，通过手动触发脚本激活。
GitHub对这些虚假软件包采取了什么措施？
GitHub已移除相关软件包，并将持续检测和分析违规行为。
