澳门新萄京赌场-新萄京网址34567

侵权投诉

月下载量800万的开源库被植入比特币后门

嵌入式资讯精选 ? 2018-11-30 16:19 ? 次阅读

【导读】:NPM 成也依赖,坑也依赖!2016 年 3 月,NPM 就炸锅一次。一个 NPM 模块的开发者撤回了自己的代码,导致诸如?React 和 Babel 等大量重要项目出问题了。

今天?NPM?圈又炸锅了,因为一个广泛使用的依赖库 event-stream 在被原维护者?Dominic Tarr?转让给?right9ctrl?之后被植入了窃取比特币的后门。这意味着使用到该模块的开发者们,其设备或许早在不知情的情况下变成了挖矿设备了。

大家是怎么一步一步掉坑的?

event-stream 是一个用于处理 Node.js 流数据的 JavaScript npm 包,它使得创建和使用流变得容易,正是因此,它也受到了广大开发者的欢迎,目前这个库每周有 200 万的下载量。

数月前,event-stream?库的编辑者@dominictarr 因为缺乏时间和兴趣无法继续维护这个库了,于是就将该库转让给了一个完全不认识却又想要维护的陌生人@right9ctrl ,噩梦就此开始了。

@dominictarr:

(@right9ctrl)他发邮件给我,说他想维护这个模块,于是我把模块所有权移交给了他。我没有从这个模块得到任何回报,而且我已经好久不使用这个模块了,大概有好几年了吧。

9 月 8 日,新维护者@right9ctrl 开始了初步动作,首先释出了?event-stream?3.3.6 版本的更新,并在其中加入了一个全新的模块——flatmap-stream,彼时这个模块中并没有恶意功能。

9 月 16 日,@right9ctrl 重写了代码并删除了对?flatmap-stream 的依赖,之后又推出新版本,这意味着更新不会自动升级。

10 月 5 日,flatmap-stream 0.0.1 版本被一个名为“hugeglass”的用户推送到了 NPM。而这次释出的更新中该模块就被加入了窃取比特币钱包并转移出余额的功能。

因此,自 10 月 5 日以来,任何通过?event-stream 库并使用被植入恶意代码 flatmap-stream 的开发者都可能受到恶意脚本的攻击。而据统计,自?2018 年 9 月更新以来,恶意包已下载近 800 万次。且原编辑也无奈地表示,自己也没有权限去修改。

event-stream?原编辑的回应

收到其他开发者的谴责后,event-stream 原编辑?Dominic Tarr?在 GitHub 上发表声明做出了回应。

https://gist.github.com/dominictarr/9fd9c1024c94592bc7268d36b8d83b3a

大意如下:

使用者将维护的负担压在编辑身上,而他开发这个库不是出于利他动机,是因为好玩。从开发中学习并获得乐趣,将维护交给另一个人是因为分享也是一种学习。

为什么要把这个App包项目交给一个陌生人?

因为当它不再有趣,你从维护中得不到任何东西。一开始他并没有从 right9ctrl 身上感受到恶意,他以为这是一位真心想帮助他的人。

与其他贡献者分享 commit access/publish 权力在 node/npm 社区是很流行的。

他认为有两种方法解决这个问题:给维护者钱,或者使用者也应该承担部分维护的责任。

如何知道是否中招了?该怎么办?

目前对于开发者受到此漏洞的影响程度尚未可知,但是当前大家的首要任务还是检查自己是否使用了相关的恶意库,例如运行以下代码:

$?npm?ls?event-stream?flatmap-stream...flatmap-stream@0.1.1...

如果在输出里面包含了 flatmap-stream 则说明你也可能被攻击。

倘若确认受到了影响,接下来你首先要做的是从应用程序中删除恶意App包,可以通过恢复到 ?event-stream?版本 3.3.4 来实行此操作。

原文标题:可怕!月下载量 800 万的开源库被植入比特币后门

文章出处:【微信号:mcuworld,微信公众号:嵌入式资讯精选】欢迎添加关注!文章转载请注明出处。

收藏 人收藏
分享:

评论

相关推荐

南京物联发布全新的智能家居平台系统“Ubi-X全方位服务平台”

Ubi-X是专为WULIAN合作伙伴倾力打造的集产品库、售前、售后、设计、安装、技术对接、数据工厂等....
的头像 倩倩 发表于 03-27 10:47 ? 342次 阅读
南京物联发布全新的智能家居平台系统“Ubi-X全方位服务平台”

浅谈CM108/CM119(集成晶振)USB音频芯片解决方案

CM108/CM119 集成了晶振,CM108/CM119是一款高度集成的单芯片USB音频解决方案。....
的头像 新萄京发烧友网工程师 发表于 03-25 09:00 ? 108次 阅读
浅谈CM108/CM119(集成晶振)USB音频芯片解决方案

谷歌推出的第一个珊瑚新产品是Accelerator Module

谷歌还推出了其现有的Coral System-on-Module产品的两个新版本,这代表了功....
的头像 倩倩 发表于 03-22 14:47 ? 343次 阅读
谷歌推出的第一个珊瑚新产品是Accelerator Module

VIAVI Solutions企业近日推出一系列产品和服务

VIAVI ONT 800G FLEX DCO 模块——业界首款完全集成型测试产品,可用于400G ....
的头像 倩倩 发表于 03-18 15:36 ? 278次 阅读
VIAVI Solutions企业近日推出一系列产品和服务

2020年区块链和加密货币的未来发展趋势分析

我想把关于比特币的讨论从区块链中分离出来。比特币是金钱,而区块链是账本。分类账的属性有区别和差异。所....
发表于 03-12 09:50 ? 1145次 阅读
2020年区块链和加密货币的未来发展趋势分析

自由现金将如何在全球范围内实现密码经济

自由现金的目标是在全球范围内实现密码经济。密码经济是基于非对称密码和分布式共识机制建立的更加安全、高....
发表于 03-12 09:45 ? 179次 阅读
自由现金将如何在全球范围内实现密码经济

比特币看起来像牛市吗

比特币价格跟股票市场或其他任何资产类型无关。
发表于 03-12 09:41 ? 543次 阅读
比特币看起来像牛市吗

OKChain如何才能成为真正的去中心化公链平台

OKChain对OKB持有人的回馈则是将初始发行的OKT按照比例100%全部映射发放给OKB持有人,....
发表于 03-12 09:15 ? 146次 阅读
OKChain如何才能成为真正的去中心化公链平台

比特币死亡谣言是怎么一回事

区块链结构没有所有者,没有集中的权限,无需与受信任的第三方打交道。
发表于 03-12 09:12 ? 622次 阅读
比特币死亡谣言是怎么一回事

黄金为什么能成为避险资产

几天以前,在阅读了吉尔·卡尔森(Jill Carlson)的专栏文章之后,我就想到了这部影片。就在所....
发表于 03-12 09:08 ? 291次 阅读
黄金为什么能成为避险资产

比特币的死亡螺旋踩踏会发生在现实生活吗

形成死亡螺旋的要素分别是:代币价格、借贷、杠杆。而这些因素,比特币生态里都存在。
发表于 03-12 09:03 ? 646次 阅读
比特币的死亡螺旋踩踏会发生在现实生活吗

网状网络与比特币结合可以带来哪些好处

如果全球互联网崩溃,比特币将陷入困境。但全球银行业、医疗保健行业、食品行业,以及基本上大家这个高度互....
发表于 03-12 09:01 ? 225次 阅读
网状网络与比特币结合可以带来哪些好处

比特币价格从2010年到2020年的走势分析

好多年来,对这项技术的采用一直在稳定增长,但依然不到总人口的5%。脸书、Microsof....
发表于 03-12 08:53 ? 5296次 阅读
比特币价格从2010年到2020年的走势分析

如何才能摧毁自由市场的加密货币

加密货币的结构很健壮。经济学家Nassim Taleb在他的《Antifragile: Things....
发表于 03-12 08:39 ? 50次 阅读
如何才能摧毁自由市场的加密货币

区块链在安防领域有什么落地的

道尔智控将区块链技术融入平台定义车道,开出停车场区块链新萄京发票,利用区块链使停车场系统收益权融资,构....
发表于 03-11 16:58 ? 410次 阅读
区块链在安防领域有什么落地的

石油测井课题——高温恒流源模块先容

随着现代经济的发展,电源作为各行各业的基础,人们对电源的需要不断增加,因此在现代新萄京领域中对电源的研....
发表于 03-11 09:55 ? 41次 阅读
石油测井课题——高温恒流源模块先容

为什么原始比特币会受到人们的追捧

区块链提供了人们发送或接收数字资产时发生每笔交易的记录。这并不意味着人们无法使用Tor,Cashfu....
发表于 03-11 09:50 ? 486次 阅读
为什么原始比特币会受到人们的追捧

比特币基础常识你知道哪一些

区块链基本上是一个进行比特币交易的技术。当你发送一个比特币时,这实际上意味着你将你的交易添加到区块链....
发表于 03-11 09:49 ? 128次 阅读
比特币基础常识你知道哪一些

中国与美国的区块链行业有哪些差异

从业很久的赵东在币圈的故事如数家珍,以至于很多人甚至对他的主营业务到底是作为Dfund创始人的投资人....
发表于 03-11 09:44 ? 283次 阅读
中国与美国的区块链行业有哪些差异

比特币跟黄金的避险属性比起来具有什么优势

碳链价值有幸邀请到了Dots机构投资者社区CEO郑迪、国盛证券区块链研究院分析师任鹤义、中信建投宏观....
发表于 03-11 09:37 ? 64次 阅读
比特币跟黄金的避险属性比起来具有什么优势

区块链的拜占庭政治经济学探讨

除了探究“为谁发展、如何发展、去向何方”的问题,区块链上的社会科学研究还有着更重大的意义:不同于内燃....
发表于 03-11 09:34 ? 48次 阅读
区块链的拜占庭政治经济学探讨

比特币永远不会消亡的原因是什么

2020年1月,整个加密货币市场在一片绝望中悄然见底,随着比特币连续在6800美金下方收出三根长下影....
发表于 03-11 09:29 ? 55次 阅读
比特币永远不会消亡的原因是什么

比特币真正的价值是什么

货币的发行是不需要大家同意的,在经济不稳定的时候,银行可能拼命印钞,这稀释了大家手里的货币价值。
发表于 03-11 09:28 ? 132次 阅读
比特币真正的价值是什么

加密货币存款比传统银行相比有啥区别

比特币的诞生催生了一种新的所有权模式:一种便携式数字商品的强大所有权。对每一笔链上交易,其结算都是(....
发表于 03-11 09:26 ? 42次 阅读
加密货币存款比传统银行相比有啥区别

区块链为什么需要一场祛魅

区块链深受“不可能三角”之扰,即去中心化、可扩展性、安全性,三者不可兼得。简单来说就是效率与去中心化....
发表于 03-11 09:24 ? 51次 阅读
区块链为什么需要一场祛魅

比特币究竟是如何运作的

如果你正在考虑投资比特币,那么购买或出售任何形式的数字货币的最简单方法就是通过在线验证平台。如果你没....
发表于 03-11 09:22 ? 63次 阅读
比特币究竟是如何运作的

区块链与大数据结合将会给组织带来哪些好处

由每当“区块链”这个术语出现时,许多人都会把它与比特币等加密货币联系起来。是的,这项技术确实通过加速....
发表于 03-11 09:18 ? 118次 阅读
区块链与大数据结合将会给组织带来哪些好处

区块链正在准备如何进化

数字货币和区块链的最终分离,可以使它们进入到一个前景更加清晰、透明的发展轨道中,对于两者而言是个双赢....
发表于 03-11 09:15 ? 35次 阅读
区块链正在准备如何进化

比特币与金融泡沫将会如何对决

从全球债务的角度看,一场大清算或许即将开始,对于大家个体而言,风暴之下,挑战之中,也蕴含着机遇。
发表于 03-11 08:50 ? 167次 阅读
比特币与金融泡沫将会如何对决

女性加入区块链行业的优势是什么

几位女神选择进入区块链行业的原因都不大相同:徐坤有过丰富的金融从业经验,15-16年区块链概念股风生....
发表于 03-10 11:29 ? 314次 阅读
女性加入区块链行业的优势是什么

声控电梯凭什么不火?

疫情期间,你是怎么按电梯的?用钥匙、手肘还是和平常一样用手去按? 封闭的空间,是病毒容易聚集和传播的....
发表于 03-10 10:52 ? 164次 阅读
声控电梯凭什么不火?

比特币市值比债券市场相比怎样

全球债务市场是其他资产类别潜在危机的指标之一,债券市场规模巨大。
发表于 03-10 09:56 ? 173次 阅读
比特币市值比债券市场相比怎样

比特币挖矿与其价格是否存在关联

周末比特币(BTC)价格再次跌至9,000美金以下,增加了未来比特币价格的不确定性,并且警醒投资者新....
发表于 03-10 09:38 ? 69次 阅读
比特币挖矿与其价格是否存在关联

比特币市场将会如何影响债券市场

Van Eck 的数字资产策略师 Gabor Gurbacs 指出了这种收益率异常,他表示根据德意志....
发表于 03-10 09:36 ? 54次 阅读
比特币市场将会如何影响债券市场

未来的加密货币交易托管所将会是怎样的

自从Mt. Gox问世以来,加密货币交易托管所已经取得了长足的进步,但是正如Quadriga、Mt.....
发表于 03-10 09:34 ? 38次 阅读
未来的加密货币交易托管所将会是怎样的

区块链技术如何构建跨国间的信任

这次疫情,也让全球化受阻,产业协作从全球长链,走向区域短链。
发表于 03-10 09:32 ? 55次 阅读
区块链技术如何构建跨国间的信任

区块链技术在现实生活中的应用有哪些

比特币热在2017年末达到顶峰,比特币的价格也随之飙升,但在幕后,这个神秘而又令人困惑的行业一直在悄....
发表于 03-10 09:31 ? 149次 阅读
区块链技术在现实生活中的应用有哪些

比特币现在是一个安全的避风港

比特币价格经常剧烈波动,不可预测,但这并没有阻止一些大胆的投资者对比特币进行大手笔投资——希翼它能获....
发表于 03-10 09:27 ? 31次 阅读
比特币现在是一个安全的避风港

比特币为何也会出现暴跌

根据币coin提供的数据显示,过去24小时合约市场全网总计爆仓5.07亿美金,爆仓人数达到36536....
发表于 03-10 09:20 ? 1013次 阅读
比特币为何也会出现暴跌

比特币到底有什么价值

简单的说,比特币矿机对于矿工来说就是源源不断获利的机器,它能像鸡一样下蛋产生价值,甚至走向百亿身家富....
发表于 03-10 09:17 ? 1767次 阅读
比特币到底有什么价值

如何应对加密货币市场出现真正的黑天鹅

比如此次周末大跌可以找到如下可能的原因:新冠病毒在全球范围的爆发导致对经济前景悲观、产油国谈判失败原....
发表于 03-10 09:10 ? 191次 阅读
如何应对加密货币市场出现真正的黑天鹅

币圈的同涨同跌特征详细先容

今年(2020年)新冠病毒干扰了全国经济,A股好像一起惨,但至少分版块,医药版块就涨。在股市里,无论....
发表于 03-10 09:07 ? 70次 阅读
币圈的同涨同跌特征详细先容

2016年的挖矿奖励减半对2020年有哪些参考意义

哈希率(算力)代表了比特币矿工用来确认区块链交易所需要的计算能力。哈希率的提高代表了网络中更高的安全....
发表于 03-10 08:59 ? 447次 阅读
2016年的挖矿奖励减半对2020年有哪些参考意义

有哪一些因素在阻止比特币回归

经过健康的价格修正,答案可能是“大概”。 然而,人们越来越担心,目前有许多催化剂正在将一场从无害的价....
发表于 03-10 08:53 ? 131次 阅读
有哪一些因素在阻止比特币回归

纽约一家发电厂正在利用多余的电能来生产数字货币

据外国媒体报道,该工厂正在设施中使用“仪表背后(behind-the-meter)”的能量来开采比特币,....
发表于 03-09 11:51 ? 73次 阅读
纽约一家发电厂正在利用多余的电能来生产数字货币

交易所FCoin的突然暴雷给投资者带来了哪些教训和启示

所有交易所均游离在中国金融监管机构掌控之外。交易所汇集大众金额惊人的虚拟资产,却无任何有效监管,本人....
发表于 03-09 11:16 ? 653次 阅读
交易所FCoin的突然暴雷给投资者带来了哪些教训和启示

2020年比特币的发展情况分析

区块链是目前 LinkedIn 上排名第一的工作技能,所以你绝对应该了解更多有关这一领域技术发展的信....
发表于 03-09 10:57 ? 233次 阅读
2020年比特币的发展情况分析

调整比特币单位会有什么不一样

到今天为止,相信绝大多数人多少都听说过比特币。尽管褒贬不一,但是时不时会在各类媒体中看到一些关于比特....
发表于 03-09 10:39 ? 54次 阅读
调整比特币单位会有什么不一样

比特币常见的错误怎样去避免

交易者应确定市场是向上、向下还是横盘,并根据市场动量进行交易,与市场趋势作斗争不是一个好的选择。
发表于 03-09 10:30 ? 87次 阅读
比特币常见的错误怎样去避免

怎样不错过比特币

云算力挖矿最大的优势是门槛低,操作简单。
发表于 03-09 10:17 ? 35次 阅读
怎样不错过比特币

急需IGBT模块

现急需FF1200R17IP5英飞凌原厂的IGBT模块,有谁有渠道的帮帮忙!...
发表于 01-12 10:47 ? 440次 阅读
急需IGBT模块

乐鑫2.4 GHz Wi-Fi 和双模蓝牙模组ESP32-WROVER-B

ESP32-WROVER-B模组分为两款,分别采用了 PCB 板载天线和 IPEX 天线,还新增了 4 MB SPI flash 和 8 MB...
发表于 12-30 10:59 ? 494次 阅读
乐鑫2.4 GHz Wi-Fi 和双模蓝牙模组ESP32-WROVER-B

Seeed ADALM2000-M2K 示波器

ADALM2000 (M2K)示波器是一个经济实惠的 USB 供电数据采集模块。ADALM2000内置采样速率可达 100MSPS 的12位模...
发表于 11-16 08:37 ? 359次 阅读
Seeed ADALM2000-M2K 示波器

SE2436L Smart Energy高功率2.4 GHz 802.15.4射频前端模块ZigBee

大家都知道处理器芯片, 是依靠不断缩小制程实现技术升级,而作为模拟电路中应用于高频领域的一个重要分支,射频电路的技术升级主...
发表于 11-09 10:29 ? 780次 阅读
SE2436L Smart Energy高功率2.4 GHz 802.15.4射频前端模块ZigBee

如何降低cyble-012011-00模块的无线性能?

将放置cyble-012011-00模块在设备背面(因此面对墙壁)降低无线性能? 从墙上可以得到超过10mm的净空。 我看了“an91445天线设...
发表于 11-06 10:25 ? 932次 阅读
如何降低cyble-012011-00模块的无线性能?

如何减少连接间隙?

你好, 我能帮个忙吗? 当我调用函数连接:CyByLeGAPDeConnect()时,FixStLable模块开始连接。第二个BLE关闭。...
发表于 10-31 09:42 ? 145次 阅读
如何减少连接间隙?

psoc5lp的emfile总是返回1是怎么回事?

我遵照了下载EMFLAMP模块的头文件和库文件的指令,所有的东西都建立好了,而且链接很好。但在我遇到无法写入SD卡的问题...
发表于 10-29 10:44 ? 154次 阅读
psoc5lp的emfile总是返回1是怎么回事?

如何才能不需要使用CY8CITK-01套件?

有没有使用CY8CITK-9009PSOC3模块和MIXPRO3而不必使用CY8CITK-01套件的方法?...
发表于 10-29 09:06 ? 114次 阅读
如何才能不需要使用CY8CITK-01套件?

为什么MRF24J40MA从即刻睡眠中醒来后没有中断?

我正在研究一个包含两个模块的低功耗项目。我让他们与中断通信工作。我遵循了即时睡眠/唤醒指令。但是,在它醒来后,从收音机里再...
发表于 10-28 11:29 ? 126次 阅读
为什么MRF24J40MA从即刻睡眠中醒来后没有中断?

cybe-214009-00可用性需要等多久?

你好, 最新的赛普拉斯产品路线图表明,CYBLY-214900-00 256KBEZ-BLE应在生产/可用的Q2 2016。大家现在在Q3,我一...
发表于 10-25 09:45 ? 132次 阅读
cybe-214009-00可用性需要等多久?
XML 地图 | Sitemap 地图