npm 供應鏈攻擊再升級：Joyfill 套件被植入 RAT 惡意程式
最新網絡安全資訊顯示，npm 生態系統再次成為供應鏈攻擊嘅目標。兩個 @joyfill 命名空間下嘅 npm 套件被發現遭到入侵，喺 import 階段就會自動執行遠端存取木馬（RAT），對開發者同企業環境構成嚴重威脅。
受影響嘅 npm 供應鏈攻擊套件
根據 Socket 安全研究團隊嘅分析，以下兩個 beta 版本套件被確認含有惡意程式碼：
🔗 參考資料：NVD NIST 漏洞資料庫
👉 延伸閱讀：Palo Alto PAN-OS 漏洞遭大規模利用 企業修復攻略一文睇曬
- @joyfill/layouts@0.1.2-2773.beta.0
- @joyfill/components@4.0.0-rc24-2773-beta.4
呢兩個套件嘅惡意程式碼屬於 DEV#POPPER 惡意軟件家族，同之前發現嘅 PolinRider 威脅群組有關聯。值得留意嘅係，呢次攻擊唔係透過常見嘅 npm lifecycle hook（例如 postinstall script）觸發，而係喺 Node.js 載入 CommonJS package entry point 嘅時候就直接執行 — 即係話，只要 import 個套件就中招。
區塊鏈 C2：npm 供應鏈攻擊嘅新趨勢
今次攻擊最令人關注嘅技術特點，係佢採用咗多重區塊鏈作為指令與控制（C2）基礎設施。攻擊者利用 Tron、Aptos 同 BNB Smart Chain（BSC）三條區塊鏈嚟傳遞加密 payload，做法如下：
- 從一個 hard-coded 嘅 Tron 地址嘅最新對外交易中提取 BSC 交易 hash
- 如果 Tron 查詢失敗，就用 Aptos 帳戶作為 fallback
- 從 BSC 交易中解密並提取 JavaScript 程式碼執行
呢種區塊鏈 C2 機制嘅最大優勢係 操作韌性 — 攻擊者可以隨時更換 payload，而唔需要發佈新版本嘅 npm 套件。換句話說，即使 npm 方面移除咗有問題嘅版本，已經安裝咗嘅套件仍然可以接收新嘅惡意指令。
雙重攻擊鏈：npm 供應鏈攻擊嘅技術細節
Socket 嘅分析指出，呢個 implant 包含兩條平行嘅攻擊鏈：
- In-process 分支： 喺主 Node.js process 入面執行，透過區塊鏈解析出一個 77KB 嘅 JavaScript payload，功能同 DEV#POPPER 惡意軟件家族相似
- Detached process 分支： 啟動一個獨立嘅 Node.js process，向 IP 地址 23.27.13[.]43 請求 boot payload，解密後執行。呢個 process 即使主程式結束咗都會繼續運行
最終嘅 “clientCode” payload 係一個功能完整嘅 Node.js RAT，具備檔案上傳、憑證竊取、反向 Shell 同持久化後門注入等能力。佢仲會檢查 hostname 去避開開發環境（例如 github-runner、buildkitsandbox 等）。
企業應該點樣防範 npm 供應鏈攻擊？
面對日益複雜嘅 npm 供應鏈攻擊，企業同開發者需要採取以下措施：
- 審查依賴項： 定期用 npm audit 同 Socket 等工具掃描 project dependency
- 鎖定版本： 使用 package-lock.json 避免自動安裝最新版本
- 限制網絡訪問： CI/CD 環境應該限制對外連接，特別係對區塊鏈節點同不明 IP 嘅訪問
- 監控異常行為： 留意 Node.js process 是否有異常嘅網絡連接或子 process
今次事件再次證明，npm 供應鏈攻擊已經由簡單嘅 typosquatting 進化到利用區塊鏈做 C2 嘅高階攻擊。開發者同企業必須與時並進，提升軟件供應鏈安全意識。
#行業資訊 #ai #IT新聞 #攻擊
