又一软件供应链安全事件：恶意npm包瞄准Roblox游戏开发者

游民点评

Comment

不如一块先看看Luna Token Grabber是怎么其作用的：可以看到这是一个payload的生成器。可以生成具有特定凭证盗取功能的exe文件，值得一提的是，其编译的机制就是上文提到的pyinstaller。

（图片来源Luna-Grabber项目GitHub）

同时可以导入discord作为机器人来接收受害者的凭据。

（图片来源Luna-Grabber项目GitHub）

经笔者在本地进行测试，其虽然能绕过windows defender，但是并没有完善的免杀功能。因此如果不进行免杀改造，仅仅能在少数机器上获取凭证。

无杀软虚拟机的测试可获取登录凭证

综上，笔者认为，这是一次相对粗糙且初级的攻击，几乎完全依托Luna Token Grabber完成。但是其利用误植技术在npm仓库进行投放的思路确实值得开发者在今后留意。

从另外一个角度来说，开源社区和仓库由于其性质和检测成本问题本身对于提交的内容缺乏对恶意代码成熟的检测机制，而作为许多开发者也常常不会部署签名校验机制去校验相关官方的package的完整性。

因此，在开发过程中对开源组件的安全使用对于任何开发团队而言都是至关重要的：即使团队严格规定了章程和安全规定，依然会因为人员问题导致隐患——因此，安全开发的规范和开源安全工具（比如SCA）的使用都是软件供应链安全中不可或缺的存在。

信息安全爱好者与从业者，先后担任过数据安全、安全合规等岗位，现在是一名活跃的渗透测试工程师，偶尔参与众测。

个人热衷于探索网络安全、合规标准、渗透技术以及商业战略领域。持有众多认证，目标是不停歇的学习新的知识和技能。