Tropidoor 後門：針對開發人員的網路威脅

網路安全研究人員發現了名為 Tropidoor 的後門惡意軟體，該惡意軟體與針對開發人員的複雜網路間諜活動有關。該惡意軟體被認為是北韓威脅行為者所為，是利用惡意 npm 套件破壞開發者環境的更廣泛行動的一部分。對於網路安全專業人員和開發人員來說，了解 Tropidoor 的機制和意義至關重要。

什麼是 Tropidoor？

Tropidoor 是一個基於 Windows 的後門，透過初始下載程式運行，允許它從遠端命令和控制 (C2) 伺服器執行命令。一旦激活，惡意軟體就可以使攻擊者竊取文件、檢索系統和驅動器詳細資訊、操縱進程、捕獲螢幕截圖，甚至透過使用垃圾資料覆蓋來刪除或擦除檔案。它透過利用 Windows 實用程式（例如任務調度（schtasks）、註冊表修改和網路命令）來實現持久性。

該惡意軟體是在分析以招募為主題的網路釣魚活動時發現的。該活動針對韓國的開發人員，使用欺詐性的面試邀請，這種策略旨在誘騙受害者下載受感染的 npm 包。這些軟體包包含 BeaverTail 惡意軟體，這是一種已知的基於 JavaScript 的資訊竊取程序，隨後在受感染的系統上部署了 Tropidoor。

Tropidoor 是如何傳播的？

攻擊者一直利用 npm 套件註冊表作為分發載體，將惡意程式碼注入看似合法的開發實用程式和偵錯工具中。其中一些套餐包括：

• 空數組驗證器
• 推特API
• 開發調試器-vite
• 打鼾記錄
• 核心皮諾
• 事件實用程式
• icloud-cod
• cln-記錄器
• 節點堵塞
• 整合日誌
• 整合記錄器

這些軟體包在被刪除之前已被總共下載了數千次，凸顯了該活動的廣泛性。感染策略的關鍵要素是將其中一些套件連結到託管在 Bitbucket 上的儲存庫，而不是更常用的 GitHub，進一步掩蓋它們的來源和意圖。

Tropidoor 有何影響？

Tropidoor 的出現帶來了一些嚴重的風險，特別是對於依賴開源依賴的軟體開發人員和組織。以下是關鍵意義：

1. 對軟體供應鏈的威脅

npm 套件的滲透凸顯了現代軟體供應鏈的脆弱性。攻擊者利用對廣泛使用的開發工具的信任來傳播惡意軟體，然後這些惡意軟體可以在企業環境中傳播。

2. 威脅行為者的長期存取權限

Tropidoor 能夠持續存取受感染的系統。透過控制受感染的機器，攻擊者可以進行長期間諜活動，收集敏感訊息，並可能破壞操作。

3. 資料竊取和系統操縱

Tropidoor 具有擷取螢幕截圖、列出檔案和竊取敏感資料的功能，因此帶來了巨大的資料安全風險。此外，它不可逆地刪除檔案的能力可能會導致系統損壞或妨礙法醫調查。

4. 逃避技術

為了避免被發現，該惡意軟體採用了高階混淆方法，包括十六進位字串編碼和透過 eval() 進行動態 JavaScript 執行。這使得自動化安全工具很難在早期階段識別和消除威脅。

降低風險

組織和開發人員可以採取各種措施來防範 Tropidoor 和類似的威脅：

• 仔細檢查 npm 套件：在安裝 npm 套件之前，請先驗證其來源、維護者和程式碼完整性。對最近發布或文件不全的軟體包要謹慎。
• 監控網路流量：注意可疑的出站通信，這可能表示惡意軟體正在存取 C2 伺服器。
• 使用端點保護解決方案：部署可以偵測和阻止遠端存取木馬 (RAT) 和其他形式的惡意軟體的安全工具。
• 教育員工：對開發人員和 IT 人員進行網路釣魚策略和軟體供應鏈安全的意識培訓有助於防止社會工程攻擊。
• 限制權限：限制開發人員工作站的管理訪問，以降低潛在危害的影響。

最後的想法

Tropidoor 的發現凸顯了國家支持的網路攻擊行為者針對開發人員和軟體供應鏈的策略不斷演變。透過在 npm 套件中嵌入惡意程式碼並使用社會工程策略，攻擊者可以在關鍵的開發環境中立足。組織必須保持警惕，採用強大的安全措施，並持續監控新出現的威脅，以減輕 Tropidoor 等複雜惡意軟體活動帶來的風險。