近年来，开源软件生态系统因其开放共享和协作特性，成为全球软件开发的核心资源。然而，随着依赖度的提升，恶意攻击者逐渐将目光投向这一领域，以软件供应链为突破口发动复杂的网络攻击。近期，朝鲜黑客组织再次引发关注，其通过XORIndex恶意软件大规模污染npm注册库，开展持续性的软件供应链攻击，给全球开发者和企业安全带来了严峻挑战。Npm作为世界领先的JavaScript包管理平台，承载着数百万开发者的项目依赖，任何恶意包的渗透都可能引发财产和信息安全风险。此次朝鲜威胁团体与“Contagious Interview”行动紧密相关，公开资料显示，该组织在2025年6月至7月期间，向npm公开发布了超过67个含有恶意载荷的包，累计下载量超过一万七千次，展现出其攻击活动的猖獗和隐蔽性。据安全研究机构Socket发布的报告指出，此次攻击涉及此前不曾披露的恶意加载程序——XORIndex Loader。
通过XORIndex，攻击者能够对受害计算机进行精准的系统信息收集，包括操作系统版本、网络配置以及剩余硬件资源等，随后与其预设的命令控制服务器建立连通，将收集到的数据上传，为后续的恶意活动铺路。与早先波次采用的HexEval Loader类似，XORIndex作为一种复杂的JavaScript恶意载体，能够以高度隐蔽的方式注入BeaverTail木马。BeaverTail专门设计用于窃取受感染机器上的浏览器数据和加密货币钱包信息，其后阶段甚至会部署Python后门InvisibleFerret，显著扩大对目标系统的控制和渗透能力。这种多层次、全方位的攻击链展现了朝鲜黑客组织在技术演进和战术调整上的高度成熟，其运作方式极富“打地鼠”特征——防御方发现恶意包即刻拆除，但攻击者迅速利用新身份重整旗鼓，反复推送变种软件。值得反思的是，Contagious Interview行动不仅盯上了开源平台，更精准锁定了就职于相关目标单位的软件开发人员。不同于传统的招聘渗透策略，此次攻击直接利用开发者身份，将恶意代码隐藏在伪造的编码任务中，诱骗开发者无意识地将威胁引入企业环境。
这种攻击策略结合朝鲜秘密远程IT工作人员计划，显示出国家级网络威胁的高度组织化和长远部署意图。针对XORIndex和HexEval loader的技术分析显示，攻击者不断完善其恶意软件能力，从简单的加载功能逐步升级为具备多层次系统探查和规避检测能力的高级木马。这种持续的恶意软件进化提醒安全从业者，单靠传统的检测机制已难以有效遏制此类威胁，必须加强行为分析和实时监控。与此同时，俄罗斯网络犯罪团伙的相关活动也不容忽视。其攻击者在npm注册库中发布了多达十个恶意包，诱使用户安装后执行远程PowerShell脚本，最终释放窃取浏览器数据并挖掘加密货币的矿工程序。更具威胁性的是，这些犯罪分子通过操控npm的下载统计数据，使恶意包看似拥有数百万的下载量，从而提高其可信度，误导用户下载。
这一手段凸显了攻击者结合技术与社会工程的双重策略，增加了安全防范的复杂度。在当前全球开源软件安全形势日益严峻的背景下，企业和开发者需要从源头增强防护意识。依赖第三方包时，应严格实行供应链审计和代码审查，结合自动化工具识别异常行为或可疑签名。同时，构建多层次的安全防御体系，融合静态分析、动态检测和行为监控，是抵御新兴威胁的关键。加强对开发人员的安全培训亦至关重要，让其能够识别可疑依赖包并迅速响应。国家和行业层面更应加大对供应链安全的监管与协作，推动透明的开源社区治理机制，遏制恶意行为肆意蔓延。
总之，Contagious Interview行动揭示了朝鲜黑客组织利用开源生态漏洞进行远程渗透的隐秘路径。XORIndex及其相关恶意软件的不断演进，意味着未来软件供应链攻击将更加隐蔽和复杂。面对这一态势，安全圈必须共同提升检测和响应能力，维护开源社区的安全与稳定，确保数字经济的健康发展。
