投毒挖洞：针对公司开源项目的同名包攻击

OSCS(开源软件供应链安全社区)推出免费的漏洞、投毒情报订阅服务，社区用户可通过机器人订阅情报信息，具体订阅方式详见：

https://www.oscs1024.com/?src=csdn

事件简述

2022 年 7 月 7 日，OSCS 监测发现开发者 hayahunterr 在 NPM 仓库中上传了 ably-common、api-key-regex、ably-asset-tracking-common、repository-audit 等恶意组件包。

这些组件包与 Ably 公司的开源项目同名，推测其抢注包名是期望证明此类风险从而赚取 Ably 公司的漏洞赏金。

事件分析

7月7日，OSCS 监测发现 NPM 仓库中出现了由开发者 hayahunterr 上传的多个恶意组件包，并在描述中注明了bugbounty hunt等字样。

 通过对包名分析可以发现，Ably 公司在 NPM 仓库中发布了名为 ably 的组件包。

 Ably 公司还在 GitHub 中有其他 Node.js 开源项目，其中包括 ably-common、api-key-regex 等，但并没有在 NPM 中发布。

 因此，hayahunterr 可能在观察到该现象后决定通过在 NPM 仓库上传 ably-common，ably-asset-tracking-common 等与 Ably 公司开源项目同名的恶意组件包，进行抢注，验证这些项目是否在 Ably 公司内部已经发布，并且是否存在研发人员通过公开仓库下载使用内部组件。

其验证的方式是添加了如下代码，当这些包被引用时会将用户名，环境信息等敏感发送到远程服务器。

 

总结

通过近期监测可以发现频繁出现类似抢注内部包名的投毒事件，所幸大部分的行为并没有恶意，也没有造成太大的影响，但此类水坑攻击的成本低、风险高，企业需要注意防范。

了解更多

1. 免费使用 OSCS 的情报订阅服务

OSCS （开源软件供应链安全社区）会第一时间发布开源项目最新的安全风险动态，包括开源组件安全漏洞、投毒情报等信息，社区用户可通过企微、钉钉、飞书等方式进行订阅。

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/

 ————————————————
版权声明：本文为CSDN博主「开源生态安全OSCS」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/cups107/article/details/125668733