TACERT台灣學術網路危機處理中心

[技術]駭客利用後門程式植入熱門JavaScript函式庫來竊取比特幣

發佈日期：2018-11-27

參考位址： https://www.zdnet.com/article/hacker-backdoors-popular-javascript-library-to-steal-bitcoin-funds/#ftag=RSSbaffb68

消息內容：

駭客利用後門程式植入熱門JavaScript函式庫來竊取比特幣

新聞來源：ZDNet

BitPay的Copay桌面和行動錢包的應用程式使用者受到影響。在今天稍早發佈一個不含惡意代碼的更新檔。

一名駭客獲得了(合法)存取JavaScript函式庫的權限，並注入了惡意代碼，來竊取比特幣和儲存在BitPay Copay錢包應用程式中的比特幣。這種惡意代碼的存在是在上周被識別出來的，但直到今天，研究人員才能夠理解這種嚴重混淆的惡意代碼究竟是什麼。

加載惡意代碼的函式庫名為Event-Stream，這是一個用於處理Node.js串流數據的JavaScript npm包。這是一個非常流行的JavaScript函式庫，npm.org儲存庫每週有超過200萬次下載，但是大約三個月前，由於缺乏時間和興趣，它的原作者將其開發交給了另一個名為Right9ctrl的程式人員。

但是根據上週一位很敏銳的用戶發現Event-Stream的問題，Right9ctrl立即用惡意代碼毒害了函式庫。Right9ctrl發布了Event-Stream3.3.6，其中包含一個新的依賴項目——針對Flatmap-Stream函式庫版本0.1.1。Flatmap-Stream庫v0.1.1是惡意代碼所在的地方。

據Twitter、GitHub和Hacker News上的用戶稱，這些惡意代碼一直處於休眠狀態，直到被用在由比特幣支付平台BitPay開發的桌面和移動錢包應用Copay的原始碼中。一旦惡意代碼被編譯並被傳送到Copay錢包的有毒版本中，它就會竊取用戶的錢包資訊，包括私鑰，並將其發送到8080 port上的copayapi.host URL。

據信駭客利用這些資訊掏空了受害者的錢包。目前，我們可以推測9月、10月和本月發布的所有版本的Copay錢包都被已被感染。今天稍早時，BitPay團隊發布了Copay v5.2.2，以消除Event-Stream和Flatmap-Stream的依賴關系。

Npm.org JavaScript包儲存庫的維護者也進行了干預，並從他們的站點上取下了Flatmap-Stream函式庫，這使得通過npm包安裝程式實用程式加載該函式庫的所有項目都無法存取該函式庫

惡意Event-Streamv3.3.6也已從npm.org下架，但Event-Stream函式庫仍然可用。這是因為，為了隱藏惡意代碼，Right9ctrl發布了Event-Stream的後續版本，該版本不包含任何惡意代碼。

建議使用這兩個函式庫的項目維護者將他們的依賴關係樹更新到可用的最新版本——Event-Stream版本4.0.1。這個連結包含所有3900 + JavaScript npm包的列表，其中Event-Stream作為直接或間接依賴裝載。

這個手動更新/刪除步驟是必要的，因為一些項目被配置為在本地快取所有依賴項，並且在構建新項目版本時試圖從npm.org下載不存在的npm包時，可能不會觸發通常的控制台錯誤。

這不是過去幾年發生的第一個與JavaScript/npm相關的安全問題。今年7月，一名駭客用惡意代碼破壞了ESLint函式庫，這些惡意代碼目的在竊取其他開發人員的npm身分驗證資訊。

2018年5月，一名駭客試圖在另一個熱門的npm包，名為getcookies中隱藏後門程式。

在2017年8月，npm團隊刪除了從其他項目竊取環境變量的38個JavaScript npm包，試圖收集項目的敏感資訊，如密碼或API金鑰。

回最新消息列表頁