最劲爆的一条！朝鲜这套假笔试木马今年已经能像蠕虫一样传播。 具体是这样的： 笔试仓库里藏一个 .vscode/tasks.json，在 VS Code 里打… · @BlockInsight214 · TwKit

@BlockInsight214

最劲爆的一条！朝鲜这套假笔试木马今年已经能像蠕虫一样传播。 具体是这样的： 笔试仓库里藏一个 .vscode/tasks.json，在 VS Code 里打开并点了"信任"就会自动执行，再下载 BeaverTail、InvisibleFerret 等木马。 中招的开发者之后推代码，会把感染一起带进自己的仓库。 攻击者还会偷改受害者的提交、伪造提交时间，再强推上去。 Trend Micro 今年 3 月统计到超过 750 个被感染的仓库，DataStax 和 Neutralinojs 都中过（Trend Micro、微软）。 现在网上还能搜到的痕迹 
我按 Trend Micro 公布的感染特征搜了一下： 有 108 个 tailwind.config.js 文件末尾藏着 global['!'] 混淆代码。 有 168 处用来偷改提交的 temp_auto_push.bat 脚本。 这些大多是被害开发者自己的仓库，不是攻击者的，所以我就不点名了。 
GitHub 在 2023 年就公开点过 TraderTraitor 的名：冒充招聘方拉人进仓库，再用恶意 npm 依赖投放木马，专盯币圈员工（GitHub 公告）。 陌生人发来的"笔试项目"别在 VS Code 里点"信任"，也别直接跑 npm install。

曝光 111 · 评论 0 · 点赞 1 · 书签 0