- 网络安全研究人员揭露了一组由单一威胁行为者发布的七个npm软件包，该行为者使用了名为Adspect的伪装服务。
- Adspect旨在推广一种基于云的服务，旨在保护广告活动免受包括点击欺诈和来自杀毒公司的机器人等不受信任流量的侵害。
- 六个npm软件包包含一段39KB的恶意代码，它会隐藏自身并复制系统的指纹信息。
网络安全研究人员揭露了一组由单个威胁行为者发布的七个npm包。这些包使用名为Adspect的伪装服务来区分真实受害者和安全研究人员，最终将他们重定向到可疑的加密货币主题网站。
这些恶意npm包由名为“dino_reborn”的威胁行为者在2025年9月至11月之间发布。这些包包括signals-embed（342次下载）、dsidospsodlks（184次下载）、applicationooks21（340次下载）、application-phskck（199次下载）、integrator-filescrypt2025（199次下载）、integrator-2829（276次下载）和integrator-2830（290次下载）。
Adspect伪装成保护广告活动的基于云的服务
根据其网站显示，Adspect宣传一种基于云的服务，旨在保护广告活动免受 unwanted 流量（包括来自杀毒公司的点击欺诈和机器人）的影响。它还声称提供“防弹伪装”，并“可靠地为每个广告平台进行伪装。”
它提供三种计划：Ant-Fraud、Personal和Professional，月费分别为299美元、499美元和999美元。该公司还声称用户可以广告“任何你想要的东西”，并补充说它遵循不问政策：“我们不关心你运行什么，也不执行任何内容规则。”
Socket安全研究员Olivia Brown表示，“在访问由其中一个包构建的虚假网站时，威胁行为者会确定访问者是受害者还是安全研究人员 […]如果访问者是受害者，他们会看到虚假的CAPTCHA，最终将他们引导至恶意网站。如果是安全研究人员，虚假网站上的几个迹象就会让他们意识到可能发生了不轨行为。”
AdSpect阻止研究人员在其Web浏览器中执行操作的能力
在这些包中，有六个包含一个39kB的恶意软件，它会隐藏自己并复制系统的指纹。它还试图通过阻止Web浏览器中的开发者操作来逃避分析，从而防止研究人员查看源代码或启动开发者工具。
这些包利用了名为“立即调用函数表达式（IIFE）”的JavaScript功能。它允许恶意代码在Web浏览器中加载时立即执行。
然而，“signals-embed”本身没有任何恶意功能，旨在构建一个诱饵白页。捕获的信息随后发送到代理（“association-google[.]xyz/adspect-proxy[.]php”），以确定流量来源是受害者还是研究人员，然后提供虚假的CAPTCHA。
在受害者点击CAPTCHA复选框后，他们会被重定向到一个冒充StandX等服务的虚假加密货币相关页面，其可能目的是窃取数字资产。但如果访问者被标记为潜在研究人员，则会向用户显示一个白色的虚假页面。它还包含与名为Offlido的虚假公司相关的显示隐私政策HTML代码。
这份报告与Amazon Web Services的报告同时发布。该报告指出，其Amazon Inspector团队识别并报告了npm注册表中与协调的TEA代币挖矿活动相关的150,000多个包，该活动起源于2024年4月检测到的一波初始浪潮。
“这是开源注册表历史上最大的包泛滥事件之一，代表了供应链安全的一个决定性时刻，”研究员Chi Tran和Charlie Bacon表示。“威胁行为者自动生成并发布包以赚取加密货币奖励，而用户对此毫无察觉，这表明该活动自最初被发现以来已呈指数级扩展。”
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Florence Muchai
Florence 过去 6 年一直报道加密货币、游戏、科技和人工智能新闻。她在梅鲁科技大学修读计算机研究，并在马林加莫伊科学与技术大学学习灾害管理与国际外交，这些经历充分赋予她语言、观察和技术技能。Florence 曾在 VAP Group 工作，并担任多家加密货币媒体的编辑。
