外媒披露，攻擊者在npm 開源軟體套件庫中「投放」大量偽造的軟體套件，這些軟體套件導致了短暫DoS攻擊。
Checkmarx 的研究人員Jossef Harush Kadouri 在上週發布的一份報告中表示，攻擊者利用開源軟體資料庫在搜尋引擎上的流量，建立惡意網站並發布帶有惡意網站鏈接的空包，此舉可能導致拒絕服務（DoS）攻擊，使NPM 變得極不穩定，甚至偶爾會出現服務不可用的錯誤。
在最近觀察到的一波攻擊活動中，軟體套件數量達到了142 萬個，顯然比npm 上發布的約80 萬個軟體套件數量大幅上升。
Harush Kadouri 解釋稱攻擊者「借用」開源資料庫在搜索引擎中排名優勢，架設流氓網站，並在README.md 文件中上傳空的npm 模組和指向這些惡意網站的連結。由於開源系統在搜索引擎上享有盛譽，任何新的開源軟體套件都會共享這一優勢，因此毫無戒心的用戶更容易看到它們。
值得注意的是，整個攻擊過程都是自動化的，眾多虛假軟體包同時發送產生的負載導致NPM 在2023 年3 月底時間歇性地出現了穩定性問題。
Checkmarx 指出，此次攻擊活動背後可能有多個威脅攻擊者，其最終目的也略有差別，大致可分作為以下三種：
- 第一是利用RedLine Stealer、Glupteba、SmokeLoader 和加密貨幣礦工等惡意軟體感染受害者的系統；
- 第二是使用惡意連結將用戶導向購物網站，一旦受害者在這些平台上購買商品，攻擊者就會獲得分潤；
- 第三類則是邀請俄羅斯用戶加入專門從事加密貨幣的Telegram 頻道。
最後，Harush Kadouri 強調攻擊者會不斷地利用新技術來發動網路攻擊活動，因此重創軟體供應鏈生態系統。 為了防止此類自動化攻擊活動，建議npm 在建立用戶帳戶時採用反機器人技術。
本文轉載自TheHackerNews。