黑客利用7个npm包发起Ghost攻击窃取加密货币钱包

网络安全研究人员发现了一组新的恶意npm包，专门用于窃取加密货币钱包和敏感数据。

ReversingLabs将这一活动追踪为Ghost攻击活动。已识别的恶意包均由名为mikilanjillo的用户发布，具体清单如下：

react-performance-suite

react-state-optimizer-core

react-fast-utilsa

ai-fast-auto-trader

pkgnewfefame1

carbon-mac-copy-cloner

coinbase-desktop-sdk

ReversingLabs软件威胁研究员Lucija Valentic在与The Hacker News分享的报告中表示："这些包本身会钓取sudo密码来执行最后阶段的操作，它们试图以复杂的方式隐藏真正的功能并避免被检测：显示虚假的npm安装日志。"

这些Node.js库除了虚假声称下载额外包之外，还会插入随机延迟，给人一种安装过程正在进行的印象。在此步骤的某个时刻，用户会收到警告，称由于缺少对"/usr/local/lib/node_modules"的写入权限，安装遇到了错误，这是Linux和macOS系统上全局安装Node.js包的默认位置。

它还指示受害者输入root或管理员密码以继续安装。如果他们输入密码，恶意软件会悄悄检索下一阶段的下载器，然后连接到Telegram频道获取最终载荷的URL和解密所需的密钥。

攻击最终部署了一个远程访问木马，能够收集数据、针对加密货币钱包，并等待来自外部服务器的进一步指令。

ReversingLabs表示，该活动与JFrog本月早些时候记录的名为GhostClaw的活动集群存在重叠，尽管目前尚不清楚这是同一威胁行为者的工作还是全新的攻击活动。

Jamf Threat Labs在上周发布的分析中表示，GhostClaw攻击活动使用GitHub存储库和人工智能辅助开发工作流程在macOS上传递凭据窃取载荷。

安全研究员Thijs Xhaflaire表示："这些存储库冒充合法工具，包括交易机器人、SDK和开发者实用程序，旨在乍一看显得可信。"一些已识别的存储库积累了大量参与度，在某些情况下超过数百个星标，进一步增强了它们的感知合法性。

在此攻击活动中，存储库最初填充良性或部分功能代码，并在较长时间内保持不变，以在用户中建立信任，然后再引入恶意组件。具体而言，这些存储库包含一个README文件，指导开发者作为安装步骤的一部分执行shell脚本。

这些存储库的变体包含一个SKILL.md文件，主要针对AI导向的工作流程，伪装成通过OpenClaw等AI智能体安装外部技能。无论使用何种方法，shell脚本都会启动多阶段感染过程，最终部署窃取器。整个动作序列如下：

识别主机架构和macOS版本，检查是否已存在Node.js，如果需要则安装兼容版本。安装在用户控制的目录中进行，以避免引起任何警报。

调用"node scripts/setup.js"和"node scripts/postinstall.js"，导致执行转换为JavaScript载荷，使其能够窃取系统凭据，通过联系命令控制服务器传递GhostLoader恶意软件，并通过清除Terminal来清除恶意活动痕迹。

该脚本还配有名为"GHOST_PASSWORD_ONLY"的环境变量，当设置为零时，呈现完整的交互式安装流程，包含进度指示器和用户提示。如果设置为1，脚本启动简化的执行路径，主要专注于凭据收集，不包含任何额外的用户界面元素。

有趣的是，至少在某些情况下，"postinstall.js"脚本显示良性成功消息，声明安装成功，用户可以通过运行"npx react-state-optimizer"命令在项目中配置库。

根据云安全公司Panther上月的报告，"react-state-optimizer"是"mikilanjillo"发布的几个npm包之一，表明这两个活动集群是同一个：

react-query-core-utils

react-state-optimizer

react-fast-utils

react-performance-suite

ai-fast-auto-trader

carbon-mac-copy-cloner

carbon-mac-copys-cloner

pkgnewfefame

darkslash

安全研究员Alessandra Rizzo表示："这些包含有CLI'设置向导'，欺骗开发者输入sudo密码以执行'系统优化'。捕获的密码随后传递给综合凭据窃取载荷，收集浏览器凭据、加密货币钱包、SSH密钥、云提供商配置和开发者工具Token。"

"被盗数据根据每个加载器中嵌入的攻击活动标识符路由到特定合作伙伴的Telegram机器人，凭据存储在BSC智能合约中，无需修改恶意软件本身即可更新。"

初始npm包捕获凭据并从Telegram频道或伪装成区块链文档的Teletype.in页面获取配置来部署窃取器。据Panther称，恶意软件实施双重收入模式，主要收入来自通过合作伙伴Telegram频道中继的凭据盗窃，次要收入来自存储在单独的币安智能链智能合约中的联盟URL重定向。

Jamf表示："此攻击活动突出了攻击者策略的持续转变，分发方法超越了传统包注册表，扩展到GitHub等平台和新兴的AI辅助开发工作流程。通过利用可信生态系统和标准安装实践，攻击者能够以最小的阻力将恶意代码引入环境。"

Q&A

Q1：Ghost攻击活动是什么？它如何窃取用户数据？

A：Ghost攻击活动是通过恶意npm包进行的网络攻击。攻击者发布看似合法的npm包，诱骗用户输入sudo密码，然后部署远程访问木马窃取加密货币钱包、浏览器凭据、SSH密钥等敏感数据。

Q2：这些恶意npm包如何伪装成合法软件？

A：这些包通过显示虚假安装日志、插入随机延迟模拟真实安装过程，并声称需要管理员权限来完成"系统优化"。它们还会积累大量GitHub星标来增强可信度。

Q3：开发者如何防范这类恶意npm包攻击？

A：开发者应谨慎对待要求输入sudo密码的npm包，仔细验证包的来源和作者信誉，避免盲目信任高星标的GitHub项目，并在安装前仔细检查包的代码内容。