36个恶意npm包利用Redis和PostgreSQL部署持久化植入程序

网络安全研究人员在npm注册表中发现了36个恶意包这些包伪装成Strapi CMS插件但携带不同的有效载荷用于Redis和PostgreSQL利用、部署反向Shell、收集凭据并投放持久化植入程序。SafeDep表示每个包都包含三个文件package.json、index.js、postinstall.js没有描述、存储库或主页并使用版本3.6.8来伪装成成熟的Strapi v3社区插件。所有识别出的npm包都遵循相同的命名约定以strapi-plugin-开头然后是cron、database或server等短语以欺骗毫无戒心的开发者下载它们。值得注意的是官方Strapi插件都在strapi/作用域下。这些包由四个虚假账户umarbek1233、kekylf12、tikeqemif26和umar_bektembiev1在13小时内上传包括strapi-plugin-cron、strapi-plugin-config、strapi-plugin-server、strapi-plugin-database、strapi-plugin-core、strapi-plugin-hooks、strapi-plugin-monitor、strapi-plugin-events、strapi-plugin-logger、strapi-plugin-health、strapi-plugin-sync、strapi-plugin-seed、strapi-plugin-locale、strapi-plugin-form、strapi-plugin-notify、strapi-plugin-api、strapi-plugin-sitemap-gen、strapi-plugin-nordica-tools、strapi-plugin-nordica-sync、strapi-plugin-nordica-cms、strapi-plugin-nordica-api、strapi-plugin-nordica-recon、strapi-plugin-nordica-stage、strapi-plugin-nordica-vhost、strapi-plugin-nordica-deep、strapi-plugin-nordica-lite、strapi-plugin-nordica、strapi-plugin-finseven、strapi-plugin-hextest、strapi-plugin-cms-tools、strapi-plugin-content-sync、strapi-plugin-debug-tools、strapi-plugin-health-check、strapi-plugin-guardarian-ext、strapi-plugin-advanced-uuid、strapi-plugin-blurhash。对这些包的分析显示恶意代码嵌入在postinstall脚本钩子中该脚本在npm install时执行无需任何用户交互。它以安装用户的相同权限运行意味着它在CI/CD环境和Docker容器中滥用root访问权限。攻击载荷演变过程该活动分发的载荷演变如下1. 通过注入crontab条目武器化本地可访问的Redis实例以实现远程代码执行每分钟从远程服务器下载并执行shell脚本。该shell脚本通过SSH向Strapi的公共上传目录写入PHP web shell和Node.js反向shell还尝试扫描磁盘寻找秘密信息并窃取Guardarian API模块。2. 结合Redis利用和Docker容器逃逸将shell载荷写入容器外的主机。还在端口4444上启动直接Python反向shell并通过Redis向应用程序的node_modules目录写入反向shell触发器。3. 部署反向shell并通过Redis写入shell下载器并执行生成的文件。4. 扫描系统寻找环境变量和PostgreSQL数据库连接字符串。5. 扩展的凭据收集器和侦察载荷用于收集环境转储、Strapi配置、通过运行INFO、DBSIZE和KEYS命令提取Redis数据库、网络拓扑映射、Docker/Kubernetes秘密、加密密钥和加密货币钱包文件。6. 进行PostgreSQL数据库利用使用硬编码凭据连接到目标PostgreSQL数据库并查询Strapi特定表寻找秘密。还转储匹配加密货币相关模式的数据并尝试连接六个Guardarian数据库。这表明威胁行为者已经拥有数据。7. 部署持久化植入程序旨在维持对特定主机名(prod-strapi)的远程访问。8. 通过扫描硬编码路径和生成持久反向shell来促进凭据盗窃。SafeDep表示这八个载荷显示了清晰的叙述攻击者开始时很激进Redis RCE、Docker逃逸发现这些方法不起作用后转向侦察和数据收集使用硬编码凭据进行直接数据库访问最后采用针对性凭据盗窃的持久访问。载荷的性质加上对数字资产的关注以及硬编码数据库凭据和主机名的使用表明该活动可能是针对加密货币平台的定向攻击。建议安装了上述任何包的用户假设已被入侵并轮换所有凭据。其他供应链攻击这一发现与针对开源生态系统的几起供应链攻击的发现相一致名为ezmtebo的GitHub账户已在各种开源存储库中提交了超过256个包含凭据窃取载荷的拉取请求。dev-protocol一个经过验证的GitHub组织被劫持用于分发带有错误拼写npm依赖项的恶意Polymarket交易机器人这些依赖项窃取钱包私钥。流行的Emacs包kubernetes-el/kubernetes-el遭到入侵利用其GitHub Actions工作流中的Pwn Request漏洞。合法的xygeni/xygeni-action GitHub Actions工作流使用被盗的维护者凭据遭到入侵植入反向shell后门。合法的npm包mgc通过账户接管遭到入侵推送了四个包含投放器脚本的恶意版本。名为express-session-js的恶意npm包冒充express-session包含一个投放器用于检索下一阶段的远程访问木马。合法的PyPI包bittensor-wallet遭到入侵部署了一个在钱包解密操作期间触发的后门。名为pyronut的恶意PyPI包冒充流行的Python Telegram API框架pyrogram嵌入隐蔽后门。三个由IoliteLabs发布的恶意Microsoft Visual Studio Code扩展在2026年3月25日更新启动针对Windows和macOS系统的多阶段后门。KhangNghiem/fast-draft VS Code扩展的多个版本在Open VSX上执行GitHub托管的下载器。Group-IB在2026年2月发布的报告中透露软件供应链攻击已成为重塑全球网络威胁格局的主导力量。威胁行为者正在追求可信供应商、开源软件、SaaS平台、浏览器扩展和托管服务提供商以获得对数百个下游组织的继承访问权限。供应链威胁可以迅速将单个本地化入侵升级为具有大规模跨境影响的事件攻击者将供应链入侵产业化将其转变为自我强化的生态系统因为它提供了覆盖范围、速度和隐蔽性。Group-IB表示npm和PyPI等包存储库已成为主要目标被盗的维护者凭据和自动化恶意软件蠕虫被用来入侵广泛使用的库将开发管道转变为恶意代码的大规模分发渠道。QAQ1这些伪装成Strapi CMS插件的恶意npm包是如何工作的A这些恶意包将恶意代码嵌入在postinstall脚本钩子中在执行npm install时自动运行无需用户交互。它们以安装用户的相同权限运行在CI/CD环境和Docker容器中可能获得root访问权限然后执行Redis和PostgreSQL利用、部署反向Shell、收集凭据等恶意活动。Q2如何识别这些恶意的Strapi插件包A这些恶意包都以strapi-plugin-开头后跟cron、database、server等词汇没有描述、存储库或主页信息版本号都是3.6.8。需要注意的是官方Strapi插件都在strapi/作用域下而这些恶意包不在该作用域内。Q3如果已经安装了这些恶意包应该怎么办A如果已经安装了任何这些恶意包应该立即假设系统已被入侵并采取以下措施轮换所有凭据检查系统是否存在持久化植入程序扫描环境变量和数据库连接字符串是否被窃取检查Redis和PostgreSQL数据库是否被利用并全面检查系统安全性。