MUT-1244攻击充分展示了供应链攻击的隐蔽性、复杂性与破坏力，甚至网络安全专业人员都难以幸免。
近日，网络安全公司Checkmarx首次披露了一种专门攻击黑客和网络安全研究人员的供应链攻击。据报道，这场长达一年的攻击活动通过开源软件的“木马化”版本来窃取黑帽黑客的敏感信息，同时还针对善意的安全研究人员，令业内震惊。
该攻击活动由Datadog安全实验室进一步证实。攻击者主要通过以下两种方式感染目标设备：
木马化开源软件：攻击者在GitHub和NPM平台上分发被植入后门的开源软件包。这些包伪装成合法工具，实际上却会窃取设备中的敏感信息。精准钓鱼邮件：攻击者针对发布安全学术论文的研究人员，尤其是使用arXiv平台的用户，发送精心设计的钓鱼邮件。这些恶意软件不仅精密且隐蔽，甚至能够长期潜伏，伺机窃取信息。
攻击手法：多重感染路径与专业后门
攻击活动由一个被命名为“MUT-1244”的威胁组织实施，“MUT”代表“神秘未知威胁”（Mysterious Unattributed Threat）。以下是其具体攻击方式：
一、木马化的软件包
攻击的核心工具之一是@0xengine/xmlrpc，这是一个在NPM平台上流传已久的JavaScript库。起初，它以提供Node.js环境下的XML-RPC协议实现为幌子，逐步更新为恶意版本。仅在上线的头12个月内，该包进行了16次更新，制造出“可信赖”的假象。
另一个关键组件是GitHub上的yawpp工具，这款工具伪装为WordPress凭证验证和内容发布工具。虽然yawpp本身并无恶意代码，但由于依赖@0xengine/xmlrpc，其用户在安装yawpp时会被自动感染。
二、后门触发机制
恶意软件的后门功能高度隐蔽，仅在满足特定条件时才会激活。例如：
用户在运行带有“--targets”参数的命令时触发后门。使用yawpp工具的核心脚本（checker.js或poster.js）时自动激活。三、持久性与信息窃取
恶意软件通过伪装为合法的会话认证服务（Xsession.auth）实现持久化运行。每隔12小时，Xsession.auth会系统性地收集设备上的敏感信息，包括：
SSH密钥及配置文件系统命令历史记录环境变量和网络信息这些数据随后被上传至Dropbox或file.io账户供攻击者使用。此外，恶意软件还在部分设备上安装了加密货币挖矿程序。
四、精准钓鱼与社会工程
MUT-1244的另一大传播手段是利用钓鱼邮件。攻击者从arXiv平台抓取了2758个电子邮件地址，向受害者发送伪装成“CPU微代码更新”的邮件，声称能显著提升计算性能。这些邮件在10月5日至21日之间发送，目标为高性能计算领域的研究人员。
为了增加可信度，恶意软件甚至被嵌入到一些合法资源中，例如Feedly Threat Intelligence和Vulnmon。这些网站将恶意包列入漏洞概念验证的代码库中，使其更加隐蔽。
目标与动机令人疑惑
MUT-1244的攻击目标是多样化的，既包括窃取敏感信息，也涉及加密货币挖矿。截至目前，攻击者已窃取约39万条WordPress网站的管理凭证，受感染的设备上至少有68台运行了挖矿程序。然而，这种复杂的攻击行为与目标群体选择之间的矛盾引发了诸多疑问：如果攻击者的主要目的是挖矿，为何选择网络安全研究人员？如果是窃取信息，为何加入容易被检测的挖矿活动？
如何防范：检查指标与安全建议
针对这次攻击，Checkmarx和Datadog发布了一些检测方法，帮助潜在受害者确认自己是否中招。安全人员应重点检查以下方面：
检查系统中是否存在伪装为Xsession.auth的进程。确认是否安装了@0xengine/xmlrpc或yawpp等被标记为恶意的软件包。留意设备是否异常运行挖矿程序。此外，安全专家建议：
谨慎使用开源软件库中的代码包，尤其是未知来源的项目。定期更新安全工具，扫描潜在威胁。在邮件中接收到CPU更新或类似信息时，务必核实来源。结语：网络安全人员需提高警惕
MUT-1244攻击充分展示了供应链攻击的隐蔽性、复杂性与破坏力，甚至网络安全专业人员都难以幸免。通过伪装合法工具并利用多渠道传播，攻击者成功侵入了网络安全人员的设备，甚至窃取了同类攻击者的数据。这一事件为行业敲响警钟，凸显了开源环境中潜在的安全隐患。
在网络安全领域，信任与漏洞总是如影随形。随着攻击技术的不断进步，研究人员和开发者需要加强警惕，确保自己的工具链和设备免受威胁。在面对像MUT-1244这样复杂的攻击时，协同防御与信息共享是抵御未来威胁的关键。
参考链接：
https://arstechnica.com/security/2024/12/yearlong-supply-chain-attack-targeting-security-pros-steals-390k-credentials/
