恶意 npm 包篡改本地 "ethers" 库以发起反向 Shell 攻击

网络安全研究人员在npm注册表中发现两个恶意软件包
，恶意这些软件包专门感染本地安装的包本地其他程序包，这标志着针对开源生态系统的篡改软件供应链攻击持续升级
。

恶意包伪装与感染机制

涉事的起反两个软件包分别为ethers-provider2和ethers-providerz。其中ethers-provider2自2025年3月15日发布以来已被下载73次，攻击而第二个软件包可能已被恶意软件作者自行删除，恶意未产生任何下载记录 。包本地

ReversingLabs研究员Lucija Valentić在向The 篡改Hacker News提供的报告中表示 ："这些是简单的下载器，但其恶意载荷被巧妙隐藏。起反真正有趣的服务器租用攻击是它们的第二阶段行为——会修补本地安装的正版npm包ethers，用包含恶意载荷的恶意新文件替换原文件。这个被篡改的包本地文件最终会建立反向Shell连接
。"

难以清除的篡改持久化威胁

这一发展标志着威胁行为者战术的新升级，因为即使卸载恶意软件包，起反受感染机器仍无法清除恶意功能 ，攻击因为修改已植入流行库中
。更严重的云计算是 ，如果用户在ethers-provider2仍存在于系统时卸载ethers包，后续重新安装该包时将面临再次感染的风险
。

ReversingLabs对ethers-provider2的分析显示，它实质上是广泛使用的ssh2 npm包的木马化版本
，其install.js中包含恶意载荷 ，用于从远程服务器("5.199.166[.]1:31337/install")获取第二阶段恶意软件 ，写入临时文件并执行。执行后立即删除临时文件以消除痕迹 。高防服务器

多阶段攻击链分析

第二阶段载荷启动无限循环检查本地是否安装ethers npm包。若检测到该包存在或新安装，就会立即行动，将名为"provider-jsonrpc.js"的文件替换为包含额外代码的伪造版本，这些代码会从同一服务器获取并执行第三阶段载荷。新下载的载荷作为反向Shell，通过SSH连接到攻击者的服务器。

Valentić指出 ："这意味着当客户端收到服务器的特定消息时，建立的源码下载连接就会转变为反向Shell。即使从受感染系统中删除ethers-provider2包，该客户端仍会在特定情况下被使用
 ，为攻击者提供一定程度的持久性。"

需要特别说明的是 ，npm注册表中的官方ethers包并未被入侵 
，所有恶意修改都是在本地安装后进行的。

同源攻击变体

第二个软件包ethers-providerz行为类似 ，试图修改与本地安装的免费模板"@ethersproject/providers"npm包相关的文件 。虽然具体目标文件尚不明确，但源代码引用表明可能是loader.js。

这些发现凸显了威胁行为者在开发者系统中传播和维持恶意软件的新手段 ，强调必须在使用前仔细检查开源仓库中的软件包 。Valentić警告称："尽管下载量较低，但这些软件包功能强大且恶意。若攻击得逞
，将破坏本地安装的ethers包，即使卸载该包也能在受感染系统中保持持久性。亿华云"