在一場大規模的軟件供應鏈攻擊中，一名密碼竊取者被發現通過 ChromePass 從 Windows 系統上的 Chrome 竊取憑據。

[[413124]]

ChromePass 是一款適用于 Windows 的小型密碼恢復工具，可用于查看 Chrome 瀏覽器存儲的用戶名和密碼。對于每項密碼條目，將顯示以下信息：源 URL、操作 URL、用戶名字段、密碼字段、用戶名、密碼和創建時間。它允許使用者從當前運行的系統或存儲在外部驅動器上的用戶配置文件中獲取密碼。

研究人員發現，在 npm 的開源代碼倉庫中存在一個使用合法密碼恢復工具的憑據竊取代碼炸彈，它潛伏在倉庫中，以伺機植入到從該源提取代碼的龐大應用程序中。

研究人員發現被滲透的 npm 倉庫會被植入惡意軟件，該惡意軟件會從 Windows 系統上的 Chrome 瀏覽器中竊取憑據。該密碼竊取器具有多種功能：監聽來自攻擊者的命令和控制 (C2) 服務器的傳入命令，并能上傳文件，從受害者的屏幕和攝像頭中進行記錄，以及執行 shell 命令。

據介紹，主要威脅來自 nodejs_net_server 和 temptesttempfile 這兩個軟件包。通過靜態分析，研究人員在 nodejs_net_server 包的多個版本中發現了 Win32.Infostealer.Heuristics 文件。它的元數據顯示該文件的原始名稱是"a.exe"，位于 "lib" 文件夾內。研究人員指出，帶有類似擴展名的單字母文件名會向威脅獵人發出危險信號。原來，a.exe 正是是上文提到的 ChromePass：一種用于恢復存儲在 Chrome 瀏覽器中的密碼的合法工具。

nodejs_net_server 軟件包的作者并不是一開始就在里面植入了竊取密碼的程序，研究人員發現，作者通過 12 個版本增強了 nodejs_net_server 軟件包，直到去年 12 月使用腳本對其進行升級，以植入密碼竊取程序。

研究人員于 7 月 2 日聯系了 npm 安全團隊，告知他們其倉庫存在安全威脅的軟件包。不過直到這些軟件包才被刪除。

最后，作為 Web 開發者，你對于使用 npm 軟件包有什么建議?還是堅持只使用自己編寫的代碼，不引入任何第三方包?

本文轉自OSCHINA

本文標題：npm 倉庫被滲透，可利用 Chrome 的賬戶恢復工具竊取密碼

本文地址：https://www.oschina.net/news/152135/npm-package-steals-chrome-passwords