北京
一批打著“學校Wi-Fi繞過”幌子的npm包，實際在訪客瀏覽器里埋下了分布式拒絕服務攻擊的引擎。這個操作把自己包裝成無害的輔導品牌網絡代理，讓學?能訪問被屏蔽的網站和游戲，后臺卻靜悄悄地加載惡意代碼。
和常見的惡意npm包不同，這次攻擊不需要在安裝階段感染開發者的電腦。這些包充當的是瀏覽器端代理頁面的分發系統。任何打開托管站點的人，都可能遇到彈窗廣告、追蹤腳本，以及在一段關鍵時期里活躍的流量洪水代碼。JFrog和SafeDep的研究人員分別識別出了這個活動在不同階段的面貌。
SafeDep在五月份率先記錄了141個相關包，定性為廣告軟件托管性質的濫用。JFrog隨后對應用進行了反混淆處理，發現了遠程代碼加載功能，以及五月底運作過的DDoS模塊。JFrog在分享給網絡安全新聞的一份報告里指出，這個發現表明，看似實用的繞過站點，也能給學校、工作場所和普通用戶帶來風險。
運營者利用了npm廣泛的可用性來分發靜態網頁資源，接著通過不斷變化的外部腳本，在訪客到達之后更改代理的實際行為。這套活動使用的包名和頁面，關聯到Lucide Proxy、Riverbend Tutoring和Northstar Tutoring這幾個品牌?？梢姷姆沾_實按宣傳那樣運作——通過代理來繞過內容限制進行瀏覽。這種正常行為讓伴隨它運行的腳本更容易被掩蓋。
JFrog稱第一波攻擊始于5月27日，隨后在7月8日出現了另一波，包的總數達到148個。此外，不少包已經被移除，但在研究報告發布時，仍有一些處于可獲取狀態。SafeDep早期的分析沒有發現安裝鉤子或憑證竊取組件。這些包只包含網頁文件，可以在npm支持的基礎設施上托管。
一個服務工作線程負責路由代理流量，并注入能夠捕獲導航事件的代碼；而廣告腳本則在用戶交互之后打開彈窗頁面。這個區別之所以重要，是因為主要受害者未必是把依賴項加入項目的開發者。一個僅僅訪問了已部署代理頁面的學生，可能在不知情的情況下貢獻出瀏覽器資源。這種做法也讓下架操作更難執行，因為相同的基礎文件可以復制到大量不同的包名和托管位置。
JFrog的分析發現了一個經過混淆的JavaScript捆綁包，它在代理界面出現之前加載了兩個隱藏模塊。其中一個模塊從可變動的GitHub分支拉取遠程托管的腳本，且沒有做完整性校驗。這讓運營者無需重新發布npm包，就能更改向每個訪客推送的代碼。一個已經被存檔的第二階段載荷，持續向某個目標教育站點發送大量的POST請求。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
