編碼與加密 · 2026-11-05
被劫持的 npm 套件將 Ethereum 交易轉化為惡意軟體基礎設施
重點結論
安全研究人員發現了遭入侵的合法 npm 套件惡意版本，這些版本與 PolinRider 惡意軟體家族有關的攻擊行動有關。這些套件包含載入器，會利用 Ethereum 交易來尋找並執行遠端酬載體，使安裝或操作受影響相依套件的組織面臨供應鏈風險。
一句話總結：值得關注的工具：npm 套件成品驗證工具、SHA-256 與 SHA-512 成品比較工具、Ethereum 交易資料檢查工具、可疑相依套件 lockfile 掃描工具、對外連線稽核工具。
來源報導了什麼
PolinRider 載入器鎖定遭入侵的 npm 套件
與 PolinRider 惡意軟體家族有關的攻勢活動入侵了合法 npm 套件的惡意發行版本。安全研究人員確認了這些套件及其中嵌入的載入器，使風險從直接遭感染的機器擴及依賴外部相依項目的軟體團隊。
實際上的變化是，相依項目審查不能僅止於套件信譽與發行來源。使用受影響套件的團隊應確認這些套件是否安裝自惡意發行版本，以及下游建置、開發環境或正式環境系統是否執行了遭入侵的程式碼。
Ethereum 記錄有助於釐清隱藏的基礎設施
PolinRider 載入器利用 Ethereum 交易來定位命令與控制基礎設施。其中一份報告描述了從 Ethereum 交易內編碼的資料取得該基礎設施，另一份則確認載入器會利用 Ethereum 交易尋找並執行遠端有效載荷。
這種設計可能讓傳統網路指標更難辨識惡意基礎設施。如果載入器透過區塊鏈資料解析下一個目的地，僅封鎖或監控已知有效載載荷主機可能並不足夠。防禦者在調查受影響的相依項目鏈時，應將 Ethereum 交易存取及相關連出連線納入考量。
套件安裝可能成為執行路徑
受影響的套件都是合法專案，因此這些惡意發行版本對軟體供應鏈尤其構成威脅。安裝其中一個遭入侵版本的建置管線、開發工作站或服務，可能在使用者直接執行陌生程式之前，就執行嵌入的載入器。
這使事件回應必須轉向套件來源追蹤。組織應審查鎖定檔、內部套件鏡像、建置記錄與安裝清單，以確認是否曝險；若惡意發行版本已進入其相依項目路徑，則應隔離受影響系統。建置程序可存取的認證憑證與密密鑰也可能需要審查，因為載入器可以執行遠端有效載荷。
防禦者需要進行成品、雜湊與交易檢查
這次攻勢活動為防禦者提供了幾項具體檢查。在成品層級進行審查，有助於區分惡意發行版本與合法套件；比較雜湊值則可協助辨識下載的套件與建置輸出中的相同項目。調查人員接著可檢視相關的 Ethereum 交易與網路活動，以追蹤載入器如何解析其基礎設施。
這些檢查彼此互補，並非可以互相取代。套件名稱相符並不足以證明安全，僅靠雜湊值也無法顯示載入器選定的目的地。團隊應結合安裝清單證據、成品比較、交易審查與連線記錄。SHA256 Hash Generator 與 Sha512 Hash Generator 可支援一致的成品比較，而 AES Encryption Online 工具則可協助以受控方式處理敏感調查資料。
驗證受影響套件與可重複的回應措施
現有報告確認了合法 npm 套件的惡意發行版本，但在所引用證據中並未提供套件清單或移除期限。因此，讀者應將套件識別視為調查步驟，不要假定每個安裝了名稱相近相依項目的系統都受到影響。
可重複的回應措施應將已安裝成品與可信套件副本進行比較，追蹤每個套件進入建置環境的來源，識別執行受影響發行版本的系統，並檢查這些系統是否曾存取以 Ethereum 為基礎的解析機制。調查結果應用於套件允許清單，成品驗證與連出網路監控控制。Gzip Compress & Decompress 工具可支援對壓縮成品的例行分析，而 Text To HEX 可協助在調查期間以穩定表示形式檢視源自交易的資料。
對工具的意義
- npm 套件成品驗證工具
- SHA-256 與 SHA-512 成品比較
- Ethereum 交易資料檢查工具
- 可疑相依項目鎖定檔掃描器
- 連出連線稽核工具
站內相關工具
Evidence資料來源（3）
本頁分析由 Lizely AI 產生，內容以所連結的公開證據為根據；參與者為虛構的編輯角色，並非真人作者。