針對(duì)Roblox平臺(tái)的npm供應(yīng)鏈攻擊已持續(xù)一年多

安全企業(yè)Checkmarx警告，黑客持續(xù)鎖定Roblox開發(fā)人員展開攻擊，利用偽造且惡意的npm封包以試圖竊取敏感資訊或是危害系統(tǒng)，而且已超過1年。

Roblox是個(gè)受到兒童與青少年歡迎的線上游戲平臺(tái)與游戲創(chuàng)作系統(tǒng)，它內(nèi)置社交功能，使用自家的虛擬貨幣Robux，支持PC、手機(jī)與游戲機(jī)，每月活躍用戶數(shù)超過2億，每日活躍用戶則超過7,000萬。

根據(jù)研究人員的調(diào)查，黑客主要是仿冒專為Roblox平臺(tái)開發(fā)者設(shè)計(jì)的JavaScript函數(shù)庫(kù)noblox.js，例如將惡意函數(shù)庫(kù)命名為noblox.js-async、noblox.js-thread或noblox.js-api等，再借由npm軟件組件管理系統(tǒng)進(jìn)行傳播，相關(guān)的惡意npm封包已超過數(shù)十款，且許多偽造的封包幾乎可以假亂真。

而這些惡意程序的主要功能包括竊取Discord權(quán)限，訪問系統(tǒng)資訊，創(chuàng)建于系統(tǒng)上的持久性，以及部署其他的惡意程序等。由于該惡意程序能夠擺布Windows注冊(cè)表，而讓用戶每次打開Windows設(shè)置程序時(shí)，就會(huì)執(zhí)行它。

Roblox之所以受到黑客的青睞有許多原因，像是它有龐大的用戶基礎(chǔ)，開發(fā)人員可能獲得可觀的收入；而且Roblox平臺(tái)上的開發(fā)人員可能相對(duì)年輕且缺乏經(jīng)驗(yàn)，更容易落入社交工程的陷阱；不管是Roblox或npm都屬于較容易利用的開放平臺(tái)。

Checkmarx表示，雖然已多次刪除惡意的npm封包，但它們依然不斷地出現(xiàn)，現(xiàn)在甚至有些還活躍在npm注冊(cè)表中，此外，就算已完全移除惡意的npm封包，但黑客用來植入其他惡意程序的GitHub存儲(chǔ)庫(kù)還是處于活動(dòng)狀態(tài)，是未來攻擊行動(dòng)的潛在威脅。