随着开源生态系统的日益庞大，软件供应链安全问题愈发引人关注。NPM作为全球最大的JavaScript包管理平台，托管了超过两百万个软件包，服务于超过一千七百万开发者。然而，正是这一广泛使用的平台，成为网络攻击者眼中的“沃土”。近日，安全研究团队在NPM上发现两款恶意软件包，隐藏着一条令人震惊的12步攻击链，该攻击链最终释放出极具威胁的Pulsar远程控制木马（RAT）。这次发现不仅引发了行业内对供应链安全的深刻反思，也让人们重新审视现代恶意软件的复杂性和隐蔽性。 攻击的策划者以惊人的创意和隐蔽手法策划了这次行动。
从发布者“codewizguru”于今年四月下旬注册NPM账号开始，整个攻击链设计精妙，通过多层混淆和复杂解码步骤，将恶意代码隐藏在普通的包代码背后。令人印象深刻的是，初始代码并非传统的脚本，而是由大量Unicode字符组成，尤以日本片假名和平假名字符为主。攻击者利用这些字符作为变量名，通过对字符串和对象属性的巧妙解构，在代码中动态构建出程序所需的最基本字符和函数，真正做到了“暗度陈仓”。 这段表面上看似混乱的Unicode代码，并非直接执行恶意操作，而是重构JavaScript中的Function构造函数，进而执行后续更隐蔽的脚本。在后续步骤中，经过一系列复杂的数组洗牌、十六进制编码以及多层解码，脚本开始下载并执行PowerShell命令，进一步从外部服务器拉取隐藏且混淆的脚本。值得注意的是，远程服务器还承载了一个近3MB的PNG图像文件，表面看来无害。
但攻击者使用高级隐写技术，在这个图像文件的最后两个像素中隐藏了关键数据，恶意程序会读取这些像素信息，组合成另一个隐藏的.NET动态链接库（DLL）。这种将恶意代码藏匿于图片中的做法，极大增加了防病毒软件和检测机制的识别难度。 在整个恶意链路中，每一步都采用了严密的混淆和加密技术，包括Base64编码、3DES加密、Gzip压缩等，保证了攻击者的核心代码能够在目标环境中顺利执行且不被轻易暴露。最终，这一复杂的过程在受害机器中内存加载了Pulsar RAT，允许攻击者远程控制系统，潜伏于目标网络，窃取数据或进行更深层的破坏。 此次事件的发现，代表了软件供应链安全威胁的新高度。仅凭一次简单的npm install，开发者或企业就可能遭受极端风险。
攻击不仅利用了NPM自动执行postinstall脚本机制，还充分利用了JavaScript语言在处理Unicode字符以及动态构造函数方面的特性，展现出攻击者对技术的深刻洞察力。 该事件引发了多个层面的讨论。安全专家普遍认为，这样的攻击表明仅靠传统的签名扫描或简单的静态分析手段已经无法应对日益增长的复杂威胁。自动化、深度代码分析工具和持续的安全管控成为保护开发生命周期不可或缺的组成部分。同时，这也警示开发者在引入第三方依赖时，必须加强审查和信任评估，避免潜在的恶意软件渗透。 关于攻击者的身份和动机，研究团队尚未得出明确结论。
有观点认为此次活动可能只是攻击者的测试阶段，选择使用先前广为人知的RAT来试探防护措施，或者简单是一次复杂程度超过实际目的的编码实验。无论如何，攻击链本身的多样手法和深度反映了当代网络犯罪的演进趋势，即使看似“荒谬”的步骤，也可能带来莫大的安全漏洞。 此外，有关机构呼吁NPM官方平台加强包审核机制、引入更严格的上传与发布验证流程，防止恶意代码混入生态系统。同时，建议企业及开发者提升供应链安全意识，利用先进的安全扫描和行为分析工具，及时发现异常代码行为，降低安全风险。 对于未来，安全专家强调，只有构建完善的全链条防御体系，涵盖代码审查、依赖管理、运行时监控和人工复审，才能有效抵御类似的高级供应链攻击。网络安全生态的共同努力和持续创新，将成为守护全球开源社区安全的重要保障。
总而言之，此次在NPM平台发现的12步“荒谬”恶意软件传播链，揭示了当代网络攻击技术的复杂度和隐蔽性，也敲响了供应链安全警钟。开发者与安全人员必须加强合作，提升防御能力，确保快速发展且持续依赖开源的技术环境安全稳定。无论技术如何演进，对安全的重视和主动防护始终是保障信息资产安全的基石。
