2025 年 7 月 18 日，这是一个值得信赖的 JavaScript 库，每周下载量超过 3100 万次、 eslint-config-prettier在一次有针对性的供应链攻击中，"...... "被用作武器，这凸显了开源生态系统的脆弱性。漏洞始于一封钓鱼邮件，该邮件诱使维护者泄露了他们的令牌。攻击者利用暴露的凭证发布了未经授权的软件包版本，其中包含一个安装后脚本，可在安装过程中在 Windows 机器上执行木马 DLL。
以下是发生了什么、攻击是如何实施的，以及OPSWAT 技术如何帮助抵御未来的类似威胁。
攻击总结
流行的 npm linter 软件包、 eslint-config-prettier用于在使用 Prettier 时禁用不必要或冲突的 ESLint 规则。它通常是本地集成开发环境和 CI 管道中的开发依赖项（不在生产代码中发布），但这并不能阻止它成为恶意软件的载体。
袭击过程如下
1.一封伪装成来自support@npmjs.org的钓鱼电子邮件诱骗维护者点击恶意链接（typosquatted asnpnjs.com）。点击链接后，维护者在不知情的情况下暴露了自己的 npm 访问令牌，攻击者利用该令牌发布了恶意版本的软件包。
2.然后，攻击者使用窃取的 npm 令牌发布恶意版本的 eslint-config-prettier 软件包。根据开发人员的报告，确定了四个受损版本：8.10.1、9.1.1、10.1.6 和 10.1.7 版本
此外，由于攻击者可以访问被泄露的令牌，由同一作者维护的其他软件包也受到了影响，包括 eslint-plugin-prettier, synckit, @pkgr/core和 napi-postinstall
3.攻击者在源代码中添加了两个可疑文件： install.js 和 node-gyp.dll.
当用户下载并安装其中一个非法软件包版本时，"... install.js 脚本被执行，调用恶意 node-gyp.dll 在 Windows 系统上通过 rundll32
使用的攻击技术
网络钓鱼和社交工程
欺骗性电子邮件成功绕过了基本的电子邮件保护（SPF/DKIM/DMARC），并冒充了 npm 支持。
域名抢注
一个被设计为类似npmjs.com 的欺骗性域名( npnjs.com) 被用来窃取证书。这是一种典型的 typosquatting 技术。
通过字符串连接混淆代码
该恶意软件包版本包含一个安装后脚本 (install.js)，安装后会自动运行。
内部有一个名为 logDiskSpace() looked harmless but didn’t check disk space at all. Instead, it used string concatenation to piece together a command that ran rundll32.exe并加载了一个 DLL 文件 (node-gyp.dll)捆绑在软件包中。
利用OPSWAT主动Secure 源代码和开放源码软件的Secure
MetaDefender Software Supply Chain™可帮助企业在恶意开源依赖关系进入 CI/CD 管道之前对其进行检测和阻止。
- SBOM 分析:自动扫描依赖关系并标记与此攻击相关的已知漏洞，如CVE-2025-54313。
- 多病毒检测：通过Metascan™Multiscanning功能，使用 30 多个集成反恶意软件引擎检测 node-gyp.dll 等混淆恶意软件。
- 源代码库集成：与 GitHub、GitLab 和JFrog Artifactory集成，持续检查并验证软件包的完整性。
攻击载体始于电子邮件，而这正是MetaDefender Email Security ™ 的作用所在。
- 文件消毒： Deep CDR™对电子邮件附件进行扫描和消毒。
- 超链接提取：所有链接都以纯文本显示，在用户点击之前就会暴露出类似于 npnjs.com 的域。
主要收获
- 维护者安全就是供应链安全。攻击者可以通过一个钓鱼令牌劫持广泛使用的库。
- 开源生态系统依赖于信任，但一个社会工程的成功会波及数百万个下游项目。
- 依赖性扫描和电子邮件消毒等主动安全措施不再是可有可无的，而是必不可少的。
现在该做什么
-
避免安装受影响的版本：
- eslint-config-prettier: 8.10.1, 9.1.1, 10.1.6, 10.1.7
- eslint-plugin-prettier: 4.2.2, 4.2.3
- synckit：0.11.9
- @pkgr/core: 0.2.8
- napi-postinstall：0.3.1
- 旋转受影响版本中使用的秘密
- 为所有 npm 账户启用 2FA
- 开展网络钓鱼意识培训
供应链攻击正变得越来越智能和个性化。有了OPSWAT针对电子邮件和开发管道的零信任解决方案，您就能领先于下一次攻击。
了解更多 MetaDefender Software Supply Chain和 MetaDefender Email Security.与我们的专家联系，为您的组织找到量身定制的解决方案。
