#安全资讯 用心极其险恶！TanStack 供应链攻击中黑客预留死人开关，检测到开发者吊销令牌后执行 rm -rf ~/ 命令。相关恶意脚本位于 ~/.local/bin/ 目录，里面的检测脚本会每 60 秒查询 1 次窃取的 GitHub 令牌，如果令牌被撤销就会触发死人开关，从而执行 rm 命令删除开发者的所有文件。查看详情：https://ourl.co/112916

本周现代 WEB 开发工具 TanStack 系列包遭到黑客攻击，黑客利用流程漏洞直接在 NPM 注册表中发布 87 个包含恶意代码的安装包，所幸此次供应链攻击被发现的比较及时，恶意安装包持续大约 2 小时后被撤销。

尽管如此也肯定还有大量开发者的环境被感染恶意代码，这些恶意代码用来窃取开发者的各类机密凭证，并且随着深入分析，有开发者发现发起攻击的黑客用心极其险恶，当检测到凭证被撤销时会执行 rm -rf ~/ 命令试图删除所有文件。

暗藏死人开关用来检测凭证有效性：

黑客部署的恶意代码主要用来窃取开发环境中的各类敏感凭据，例如 GitHub 令牌、AWS 令牌以及其他各类环境的凭据，有开发者发现攻击载荷会在路径 ~/.local/bin/ 中预留名为 gh-token-monitor.sh 的脚本。

这个脚本主要是用来轮询检测 GitHub 令牌是否有效，脚本被作为 systemd 用户服务或 LaunchAgent com.user.gh-token-monitor 运行，脚本会每隔 60 秒使用已经窃取的令牌轮询 https://api.github.com/user 检测令牌有效性。

如果检测到令牌被撤销 (返回 HTTP 4xx 错误代码)，则脚本会执行高危命令 rm -rf ~/ 用来删除当前环境中所有可被删除的文件，这可能导致整个开发环境被破坏，甚至导致操作系统都受到影响。

不过关于这个死人开关的问题还需要继续深入研究，开发者初步研究后认为这个脚本可能还包含某些持久化机制，脚本可能会在被用户删除后再次复活，然后继续检测 GitHub 令牌以触发死人开关。

撤销令牌前还需要先备份：

在 NPM 供应链攻击中预留死人开关的这应该是首次，不得不说黑客的用心极其险恶，如果开发者收到消息称环境可能会被感染而匆忙吊销 GitHub 令牌，就可能触发死人开关导致大量文件被删除。

所以开发者在吊销前请务必备份自己的各类重要文件尤其是开发资料，在准备稳妥后再吊销所有可能被泄露的令牌，黑客当然也会使用窃取的令牌感染其他开发环境或窃取开发者在云端的资料，所以仅仅只是吊销令牌是不够的，还需要对其他各类环境的登录记录都进行排查。

via GitHub