Socket安全团队发现针对Roblox开发者社区的新攻击，攻击者发布了5个恶意npm软件包，伪装成开发者常用的工具，例如node-dlls和rolimons-api。这些软件包旨在感染Skuld信息窃取程序和Blank Grabber恶意软件，已被下载超过320次。攻击者利用错别字和模仿合法软件包名称的方式诱骗开发者下载安装，恶意代码会下载并执行托管在GitHub上的恶意软件。Skuld信息窃取程序会窃取敏感信息，而Blank Grabber则会窃取Discord令牌、浏览器数据等。攻击者利用Discord和Telegram传递窃取的数据，增加了检测难度。Socket建议开发者定期监控npm软件包，并仔细核实软件包名称，避免此类攻击。

🤔 **恶意npm软件包伪装成合法工具**: 攻击者发布了5个恶意npm软件包，包括node-dlls、ro.dll和rolimons-api等，伪装成Roblox开发者常用的工具，诱骗开发者下载安装。

💻 **恶意软件下载部署**: 一旦安装，恶意软件包会从外部源下载并执行托管在GitHub上的恶意软件，包括Skuld信息窃取程序和Blank Grabber恶意软件。

⚠️ **Skuld信息窃取程序**: 该程序旨在窃取Roblox开发者的敏感信息，包括凭证、cookie和财务信息，并具有逃避调试和禁用防病毒保护等功能。

😈 **Blank Grabber恶意软件**: 该软件主要用于窃取Discord令牌、浏览器数据和加密货币钱包信息，并提供图形用户界面生成器，方便定制功能。

💬 **利用Discord和Telegram传递数据**: 攻击者利用Discord和Telegram传递窃取的数据，增加了检测难度，因为这些平台通常用于开发者之间的合法通信。

Socket 的威胁研究团队最近发现了针对 Roblox 开发者社区的新攻击。威胁行为者分发了五个恶意 npm 软件包，包括 node-dlls、ro.dll 和 rolimons-api，这些软件包伪装成平台上开发者广泛使用的合法工具。这次攻击的目的是让开发人员感染 Skuld 信息窃取程序和 Blank Grabber 恶意软件，这些软件包在被删除前已被下载了 320 多次。攻击者依靠错别字，使用具有欺骗性的软件包名称来冒充可信软件包。例如，他们模仿流行的 node-dll 软件包，发布了一个外观相似的 node-dlls 软件包，而类似的 rolimons-api 软件包则是针对 Roblox 数据集成的著名 API。根据 Socket 的报告，“恶意 npm 软件包包含经过混淆的 JavaScript 代码，旨在从外部源下载和执行恶意可执行文件”。这种混淆使攻击者得以隐藏其恶意意图，并利用毫无戒心的开发人员对熟悉名称的信任。一旦安装，代码就会执行一系列命令，下载和部署托管在 GitHub 上的恶意软件，而 GitHub 是开发者的常用平台，可以帮助恶意软件绕过安全过滤器。用 Go 语言编写的 Skuld 信息窃取程序以 Roblox 开发人员的系统为目标，提取敏感信息。Socket 报告说，Skuld “采用了逃避调试、禁用防病毒保护和提升权限的技术，从而可以捕获凭证、cookie 和财务信息”。第二款恶意软件 Blank Grabber 是一款基于 Python 的工具，主要用于窃取 Discord 令牌、浏览器数据甚至加密货币钱包信息。它还包括一个图形用户界面生成器，允许威胁行为者定制其功能，并有可能逃避检测。为了传递窃取的数据，该恶意软件使用了 Discord webhooks 和 Telegram，这使得检测工作变得更加复杂，因为这两个平台都是可信平台。Socket 的分析强调，“如果平台开发者出于合法目的使用 Discord 和 Telegram 进行 C2 通信，会使检测工作复杂化”。通过利用这些渠道，攻击者可以避免触发传统的安全警报，从而提高攻击的有效性。Socket 建议开发人员采取积极主动的安全措施，定期监控 npm 软件包是否有被篡改的迹象，并仔细核实软件包名称以避免错字抢注攻击。用他们的话说，“威胁行为者利用信任和人为错误，模仿受信任的软件包，将恶意代码引入应用程序”。