黑客在 Jscrambler npm 包中植入信息窃取恶意软件

客户端 Web 安全公司 Jscrambler 披露，一名威胁行为者发布了其 npm 包的恶意版本，该包已被下载近 1,500 次。
恶意 Jscrambler 包涉及 8.14、8.16、8.17 和 8.20 版本，其中包含在 'preinstall' 钩子期间执行的信息窃取恶意软件。
Jscrambler 在周六的一份警告中表示："今天，我们发现了未经授权发布的恶意版本的 jscrambler npm 包，该包用于我们的 Code Integrity 产品。"
该公司表示："该事件仅限于该包，未影响任何其他 Jscrambler 产品，包括 Webpage Integrity。"
尽管 Jscrambler 反应迅速，但恶意包存在了两个小时，之后开发者将其弃用并发布了安全版本 8.22。
受影响的包是其他四个 Jscrambler 包的依赖项，供应商也已将其弃用并替换为新版本。
来自 Node Package Manager (npm) 的统计数据显示，在两小时内，该恶意包被下载了 1,479 次。
Jscrambler 是一个用于保护 Web 和移动端 JavaScript 应用程序免受逆向工程和篡改的商业平台。
其 npm 包每周下载量为 17,000 次，允许应用程序开发者将他们的 JavaScript 上传到 Jscrambler 的服务，以保护代码免受篡改。这有助于防御诸如注入恶意代码等实时修改。
应用安全公司 Socket 检测到了此次入侵并分析了未经授权的 Jscrambler 版本。研究人员表示，该包包含一个针对多种类型敏感数据的信息窃取程序：

• 源代码和项目文件
• 开发者凭证和密钥（Git、SSH、环境变量、CI/CD 令牌）
• 云凭证和密钥管理器（AWS、Azure、GCP、Kubernetes）
• AI 编码工具和 MCP 配置（Claude、Cursor、Windsurf、VS Code、Zed）
• 加密货币钱包和助记词（MetaMask、Phantom、Coinbase、Exodus、Trust Wallet）
• 浏览器数据（cookies、已保存的凭证）
• 消息和协作应用（Slack、Discord、Telegram）

Socket 报告称，该恶意软件通过 ChaCha20-Poly1305 加密算法使用了强力的逐字符串混淆技术，这使得逆向工程代码变得困难。
据 Jscrambler 称，此次入侵是由于 npm 发布凭证被泄露所致，该公司已吊销了相关凭证。
事件发生后，发布管道已实施了额外的安全控制措施。
使用过恶意 npm 包的开发者应将其环境视为已遭入侵，轮换所有密钥，并从安全备份中恢复。
Jscrambler 建议客户确保使用的是最新版本的产品。