互联网实时新闻：微软发现恶意 npm JavaScript包可从 UNIX 系统窃取数据

导读 分享一篇有关互联网，手机方面文章给大家，相信很多小伙伴们还是对互联网，手机这方面还是不太了解，那么小编也在网上收集到了一些关于手机

分享一篇有关互联网，手机方面文章给大家，相信很多小伙伴们还是对互联网，手机这方面还是不太了解，那么小编也在网上收集到了一些关于手机和互联网这方面的相关知识来分享给大家，希望大家看了会喜欢。

　　Microsoft 的漏洞研究团队在 npm(Node Package Manager) 存储库中发现了一个恶意 JavaScript 程序包，可从 UNIX 系统窃取敏感信息。

　　该恶意软件包名为 1337qq-js，于 2019 年 12 月 30 日上传到 npm 存储库中。目前，该恶意软件包已被 npm 的安全团队删除。在此之前，该软件包至少被下载了 32 次。

　　根据 npm 安全团队的分析，该软件包通过安装脚本来泄漏敏感信息，并且仅针对 UNIX 系统。

　　它收集的数据类型包括：

　　环境变量

　　运行过程

　　/ etc / hosts

　　优名

　　npmrc文件

　　其中，窃取环境变量则被视为重大安全漏洞。npm 团队建议所有在其项目中下载或使用此 JavaScript 程序包的开发人员从其系统中删除该程序包，并轮换使用任何 compromised 的凭据。

　　事实上，这是恶意软件包第六次被放入 npm 存储库索引，此前的五次分别为：

　　2019 年 6月 -黑客将电子本地通知库进行后门操作，以插入到达 Agama 加密货币钱包的恶意代码。

　　2018 年11月 -一名黑客借壳了the event-stream npm 程序包，以将恶意代码加载到 BitPay Copay 桌面和移动钱包应用程序内部，并窃取加密货币。

　　2018 年 7月 -黑客利用旨在窃取其他开发人员的 npm 凭据的恶意代码破坏了 ESLint 库。

　　2018年 5月 -黑客试图在名为 getcookies 的流行 npm 包中隐藏后门。

　　2017 年 4月 -黑客利用敲诈手段在 npm 上载了 38 个恶意 JavaScript 库，这些库被配置为从使用它们的项目中窃取环境细节。

特别提醒：本网内容转载自其他媒体，目的在于传递更多信息，并不代表本网赞同其观点。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，并请自行核实相关内容。本站不承担此类作品侵权行为的直接责任及连带责任。如若本网有任何内容侵犯您的权益，请及时联系我们，本站将会在24小时内处理完毕。