疑似朝鲜黑客组织借 npm 包 archetype-index-sdk 投放混淆木马
cyb3rops · x · 2026-11-09
Nextron Research 的威胁情报管线发现新的恶意 npm 包 [email protected],归因于疑似 DPRK 攻击集群。
- 导入即自动加载两个伪装成 telemetry-info.mjs 和 dist/runtime-matrix.mjs 的混淆组件
- 加载器对宿主机指纹采集,回传至已知 C2 基础设施 cdn[.]node-js[.]dev
- 服务器可下发 Base64 编码的二阶段载荷,写入缓存目录的 helper.cjs 并以独立 Node.js 进程启动
进一步追踪发现该集群自 2026 年 10 月 25 日起投放多款包(birch-css-utils、character-ai-sdk、mocha-ui-themes 等),大多已被 npm 下架,但 [email protected] 仍在线。共享混淆载荷和跨平台 VM 检测二进制,具备凭证窃取、AWS/Bedrock 侦察、cron/SSH-key 持久化与 curl PATH 劫持能力。攻击在持续更换文件名与投递方式的同时保留了同一 C2 基础设施。
「编程与Agent」频道最新
- GitNexus：把任意 GitHub 仓库变浏览器内交互知识图谱，全程零后端 — JafarNajafov · 2026-11-09
- Better Paseo 插件：把所有 AI Agent 汇总到一个任务看板 — intellectronica · 2026-11-09
- 阿里开源 Zvec 嵌入式向量库，GitHub 16k 星直指 Pinecone — bigaiguy · 2026-11-09
- 《黑镜》编剧 Ian Bogost 式工具 Keep 上架 iOS：一键把内容存成 Markdown 喂给 Agent — iannuttall · 2026-11-09
- Claude Code 跨会话消息实测：两大限制与安全加固配置 — Independent-Sir3234 · 2026-11-09
- 开源 RAG 评测工具发布:核心指标免 API key,聚焦召回与忠实度 — infrixo · 2026-11-09