針對Roblox平臺的npm供應鏈攻擊已持續一年多

資安業者Checkmarx警告，駭客持續鎖定Roblox開發人員展開攻擊，利用偽造且惡意的npm封包以試圖竊取敏感資訊或是危害系統，而且已超過1年。

Roblox是個受到兒童與青少年歡迎的線上遊戲平臺與遊戲創作系統，它內建社交功能，使用自家的虛擬貨幣Robux，支援PC、手機與遊戲機，每月活躍用戶數超過2億，每日活躍用戶則超過7,000萬。

根據研究人員的調查，駭客主要是仿冒專為Roblox平臺開發者設計的JavaScript函式庫noblox.js，例如將惡意函式庫命名為noblox.js-async、noblox.js-thread 或noblox.js-api等，再藉由npm軟體套件管理系統進行散布，相關的惡意npm封包已超過數十款，且許多偽造的封包幾乎可以假亂真。

圖片來源／Checkmarx

而這些惡意程式的主要功能包括竊取Discord權杖，存取系統資訊，建立於系統上的持久性，以及部署其它的惡意程式等。由於該惡意程式能夠擺布Windows登錄檔，而讓使用者每次開啟Windows設定程式時，就會執行它。

Roblox之所以受到駭客的青睞有許多原因，像是它有龐大的用戶基礎，開發人員可能獲得可觀的收入；而且Roblox平臺上的開發人員可能相對年輕且缺乏經驗，更容易落入社交工程的陷阱；不管是Roblox或npm都屬於較容易利用的開放平臺。

Checkmarx表示，雖然已多次刪除惡意的npm封包，但它們依然不斷地出現，現在甚至有些還活躍在npm註冊表中，此外，就算已完全移除惡意的npm封包，但駭客用來植入其它惡意程式的GitHub儲存庫還是處於活動狀態，是未來攻擊行動的潛在威脅。