微软的漏洞研究团队在npm(节点包管理器)存储库中发现了一个恶意的JavaScript包，它可以窃取UNIX系统的敏感信息。恶意JavaScript包仅在npm存储库中活动两周。
名为1337qq-js的恶意软件包于2019年12月30日上传至npm资源库。目前，该恶意软件包已被npm的安全团队删除。在此之前，该软件包至少被下载了32次。
据npm安全团队分析，此软件包通过安装脚本泄露敏感信息，且只针对UNIX系统。
它收集的数据类型包括：
环境变量/etc/hosts优秀名称npmrc文件窃取环境变量的运行过程被认为是一个主要的安全漏洞，因为在一些JavaScript Web或移动应用中，一些信息(例如，硬编码的密码或API访问令牌)通常被存储为环境变量。
Npm团队建议所有在项目中下载或使用这个JavaScript包的开发人员将它从他们的系统中删除，并依次使用任何损坏的凭据。
这是恶意软件包第六次被放入npm存储库索引，这是最不严重的情况，主要是因为微软安全分析师在该库发布两周之后、受到严重关注之前就抓住了它。
npm上以前的恶意npm打包事件包括：
2019年6月-黑客后门电子本地通知库插入恶意代码，到达Agama加密货币钱包。2018年11月——黑客后门event stream npm包将恶意代码加载到BitPay Copay桌面和移动钱包应用中，窃取加密货币。2018年7月-黑客用旨在窃取其他开发者的npm凭据的恶意代码破坏了ESLint库。2018年5月-黑客试图在流行的npm包getcookies中隐藏后门。2017年4月——黑客利用敲诈手段在npm上传了38个恶意JavaScript库。这些库被配置为从使用它们的项目中窃取环境细节。
原文：3359 www . zdnet . com/article/Microsoft-spots-恶意-NPM-package-stealth-data-from-UNIX-systems/
最后，边肖想说：我是一名python开发工程师，
已经编写了一套最新的python系统学习教程，
想要这些资料，可以关注私信“01”，免费分享。希望能帮到你。
