朝鲜的黑客传送带：网络钓鱼、338 个 npm 软件包和隐藏的 C2 基础设施

朝鲜的黑客输送机：网络钓鱼、338 个 npm 软件包、180 多个 npm 别名和 15 多个 C2 端点创建了一个完整的生态系统，并利用了大量常见的开发组件。我们以前曾见过朝鲜组织渗透 IT 公司，也见过流行的 npm 软件包遭到大规模破坏；然而，这次调查显示了一个极其彻底和一致的计划，以及数量空前的恶意 npm 软件包和 C2 端点。

"《传染访谈》不是网络犯罪的业余爱好，它的运作方式就像一条流水线或工厂模式的供应链威胁"。

Weex Banner

社交工程是系统入侵的主要切入点

另一份事件报告强调社交工程是一个关键的威胁载体，在这里它是主要组成部分之一。一名开发人员收到一条据称是招聘人员发来的信息，并附有一项 "带回家 "的任务。链接指向一个存储库、一个存档或一份文档。在准备环境时，依赖安装开始，其中包括一个恶意模块。受害者认为他们正在完成一项测试，但实际上却触发了供应链中的一个阶段，并将控制权交给了装载者。

交付和执行与安装挂钩

在正常开发过程中，启动点被放置在能保证触发的地方：生命周期挂钩（如安装后挂钩）、导入时运行的代码以及小型跨平台封装程序。目前的浪潮正从直接下载器转向加密加载器。一个小模块用固定的密钥和IV 对 AES-256-CBC 进行硬编码，大段密文存储在软件包内，通常在LICENSE文件中。在安装或导入阶段，这些内容会被解密并传递给内存中的 eval。因此，第二阶段不会以可读取的形式保留在磁盘上，静态检查看到的签名也比普通软件包少。

初始引爆后，BeaverTail会加载到内存中。它注册主机，通过 HTTP(S) 建立通信，必要时通过 WebSocket 建立通信，请求任务，并调用第二阶段InvisibleFerret。InvisibleFerret 可在 Windows、macOS 和 Linux 上提供跨平台访问，扩展目标上的操作集，并保持持久性。命令和控制网络被掩盖为服务调用：前端放置在公共平台上，路由如 /api/ipcheck 或 /process-log，后端运行在静态 IP 的 VPS 上。如果默认情况下允许出站连接，这样的流量配置文件很容易与日常的开发人员和 CI 遥测数据相融合。

攻击面比通常的几个库更广

开发人员会在不同的堆栈中条件反射式地安装依赖项，如服务器和工具模块、前端工具链和构建实用程序，以及 Web3 SDK 和生态系统工具。既有可识别的名称，也有错别字和相似名称，这在原型和带回家的任务中至关重要，因为自动完成和肌肉记忆往往会取代仔细的验证。

分析案例中的示例包括日志记录、请求解析和 CSS 主题化工具，以及在安装时识别出多级信息窃取程序和 AES 加密加载程序的捆绑包。重要的是要了解其规模：具体的名称说明了方法，但并没有穷尽覆盖范围，覆盖范围是以数百份出版物为单位并定期更新的。

生态系统管理层面出现另一个薄弱点

一个恶意出版物被删除后，该账户可以继续以相同的名称并通过相同的分发渠道进行发布，这使得具有相同目标的新软件包可以迅速返回。对于防御而言，这意味着必须根据操作者而非工具名称进行中和：根据基础架构特征和代码模式进行聚类比逐个删除效果更好。

最终的经济目标显而易见。盗窃加密资产和机密，然后通过级联混合器、跨链交换和低可见度网络进行洗钱。不过，目标重点是工程师，他们更有可能接触到钱包、密钥和基础设施配置。

开发团队应如何应对如此大规模的漏洞？

虽然这是对整个开发生态系统的一次极其严重的破坏，但它为开发团队提供了宝贵的启示，因为杀伤链的每一步都有可观察到的迹象和技术干预点。在集成代码之前，必须将任何外部工件视为潜在的执行点，锁定版本并验证出处和维护者的信任。在安装时，对安装后和其他自动钩子的限制至关重要，对解密和评估以及意外出站连接的阻止也很重要，同时还要最大限度地降低安装进程的网络权限。

在网络侧的运行时，通过模仿公共托管平台上的健康检查和日志的路由找出流量配置文件，并将其与 C2 指标关联起来是非常有用的。综合来看，这些措施正好解决了维持该方案可扩展性的节点问题：例行的依赖安装、安装/导入过程中的自动执行，以及对外部流量的轻松屏蔽。

如需全面了解情况，我建议您查看详尽的入侵指标（IOC）列表，其中包括 180 多个网络钓鱼电子邮件地址、15 多个 C2 端点、300 多个恶意 npm 软件包和 180 多个 npm 别名。

Weex 横幅

结论

我们似乎看到了近年来一直在发展的威胁和漏洞的集中体现：社交工程提供了覆盖范围，npm 提供了标准交付机制，加密加载器移除了部分静态控制，C2 伪装符合普通开发人员网络配置文件，第二阶段在目标上执行目标。这意味着每个环节都需要重点关注。请继续关注新经济、加密行业和区块链发展的最新动态和机遇。