新型供应链恶意软件攻击npm和PyPI生态系统，百万用户面临风险
内容提要
近期，网络安全研究人员发现GlueStack遭受供应链攻击，多个软件包被植入恶意软件，影响下载量近百万次。攻击者可执行命令、窃取信息或关闭服务。安全公司Aikido已将受影响版本标记为弃用，建议用户回滚至安全版本。同时，发现两个伪装成合法工具的npm包，具备信息窃取和系统破坏功能。
关键要点
-
GlueStack遭受供应链攻击，多个软件包被植入恶意软件。
-
攻击者可执行命令、窃取信息或关闭服务，影响下载量近百万次。
-
安全公司Aikido已将受影响版本标记为弃用，建议用户回滚至安全版本。
-
发现两个伪装成合法工具的npm包，具备信息窃取和系统破坏功能。
-
恶意代码通过篡改lib/commonjs/index.js传播，首次检测时间为2025年6月7日。
-
受影响的软件包包括多个@react-native-aria和@gluestack-ui的版本。
-
恶意软件的持久化机制令人担忧，攻击者可维持对受感染机器的访问。
-
两个新发现的npm包express-api-sync和system-health-sync-api具备破坏性功能。
-
system-health-sync-api使用电子邮件作为隐蔽通信通道，进行数据外泄。
-
PyPI上出现新的凭证窃取工具imad213，伪装成Instagram用户增长工具。
-
凭证窃取工具的出现揭示了社交媒体定向恶意软件的趋势。
延伸解读
供应链攻击的广泛影响
此次针对GlueStack的供应链攻击影响了近百万次下载，显示出恶意软件在开源生态系统中的潜在威胁。用户在选择和使用软件包时，需更加谨慎，定期检查更新和安全公告，以降低风险。
恶意软件的持久化机制
攻击者通过恶意代码的持久化机制，能够在受感染的机器上维持访问权限。这意味着即使软件包被更新，用户仍可能面临风险。因此，用户应及时回滚至安全版本，并监控系统异常活动。
伪装工具的风险
新发现的npm包express-api-sync和system-health-sync-api伪装成合法工具，具备信息窃取和系统破坏功能。开发者在安装第三方库时，需仔细审查其来源和功能，避免无意中引入恶意软件。
社交媒体定向恶意软件的趋势
PyPI上出现的凭证窃取工具imad213表明，社交媒体定向恶意软件的威胁正在上升。用户在使用社交媒体相关工具时，需提高警惕，避免泄露个人信息，尤其是在使用不明来源的工具时。
延伸问答
GlueStack遭受的供应链攻击具体是如何进行的？
攻击者通过篡改lib/commonjs/index.js文件植入恶意软件，使其能够执行命令、窃取信息或关闭服务。
受影响的GlueStack软件包有哪些？
受影响的软件包包括多个@react-native-aria和@gluestack-ui的版本，如@gluestack-ui/utils和@react-native-aria/button等。
用户应该如何应对这次供应链攻击？
安全公司Aikido建议用户回滚至安全版本，并注意更新软件包以规避潜在威胁。
新发现的npm包express-api-sync和system-health-sync-api有什么危害？
这两个npm包具备信息窃取和系统破坏功能，能够删除应用程序目录和窃取敏感信息。
PyPI上出现的凭证窃取工具imad213是如何工作的？
imad213伪装成Instagram用户增长工具，提示用户输入凭证并将其广播到多个第三方服务。
此次攻击对用户的潜在影响是什么？
此次攻击可能导致用户的敏感信息被窃取，甚至使攻击者能够控制受感染的机器。
