peacenotwar
| 分類 | 抗議軟件（Protestware） |
|---|---|
| 子類型 | JavaScript負載 |
| 作者 | 布蘭登·野崎·米勒 |
| 程式語言 | JavaScript |
peacenotwar是一種被歸類為抗議軟件（Protestware）的惡意軟件[1]，由布蘭登·野崎·米勒編寫。2022年3月，該軟件作為依賴項被添加到常用的JavaScript依賴node-ipc中。
背景
[編輯]2022年3月7日至8日，npm包註冊表中node-ipc包的維護者布蘭登·野崎·米勒發布了兩個更新，據稱包含針對俄羅斯和白俄羅斯系統的惡意代碼（CVE-2022-23812），這些代碼會遞歸地用心形表情符號覆蓋用戶系統驅動器上的所有文件[2][3][4][5][6]。一周後，米勒在node-ipc中添加了依賴項——peacenotwar模塊和npm colors包[7]：前者會在受影響機器的桌面上創建名為WITH-LOVE-FROM-AMERICA.txt的文本文檔，內容是抗議俄羅斯入侵烏克蘭的信息；後者會導致使用它的服務器發生拒絕服務攻擊[8][9]。
影響
[編輯]由於node-ipc是常用的軟件依賴，它影響了多個依賴於該包的其他項目。[10]
受影響的項目包括Vue.js，該項目需要node-ipc作為依賴，但未指定具體版本。如果某些Vue.js用戶從特定包中獲取該依賴，可能會受到影響。Unity Hub 3.1也受到了影響，但在當天就發布了補丁。[6][8]
參見
[編輯]- npm left-pad事件——2016年軟件開發事件
- 供應鏈攻擊——通過針對供應網絡中安全性較低的元素來破壞組織的網絡攻擊
- 駭客行動主義——使用計算機和計算機網絡作為抗議手段以促進政治目的
- 對俄羅斯入侵烏克蘭的反應——國際反應
- 反俄——不喜歡或害怕俄羅斯、俄羅斯人民、俄羅斯文化或語言
參考來源
[編輯]- ^ Maffulli, Stefano. Open source 'protestware' harms Open Source. Open Source Initiative. 2022-03-24 [2024-06-09]. （原始內容存檔於2024-01-11） （英語）.
- ^ Dan Goodin. Sabotage: Code added to popular NPM package wiped files in Russia and Belarus. Ars Technica. 2022-03-18 [2024-06-09]. （原始內容存檔於2023-12-31） （英語）.
- ^ Cox, Joseph. Open Source Maintainer Sabotages Code to Wipe Russian, Belarusian Computers. Vice News. 2022-03-18 [2022-03-18]. （原始內容存檔於2022-03-18） （英語）.
- ^ Lucian Constantin. Developer sabotages own npm module prompting open-source supply chain security questions. Computer Security Online. 2022-03-19 [2024-03-16] （英語）.
- ^ Adam Bannister. NPM maintainer targets Russian users with data-wiping 'protestware'. The Daily Swig. 2022-03-21 [2024-03-16]. （原始內容存檔於2024-03-16） （英語）.
- ^ 6.0 6.1 Ax Sharma. BIG sabotage: Famous npm package deletes files to protest Ukraine war. Bleeping Computer. 2022-03-17 [2024-03-16]. （原始內容存檔於2022-03-17） （英語）.
- ^ Proven, Liam. JavaScript library updated to wipe files from Russian computers. The Register. Situation Publishing. 2022-03-18 [2022-03-18]. （原始內容存檔於2022-03-18） （英語）.
- ^ 8.0 8.1 Tal, Liran. Alert: peacenotwar module sabotages npm developers in the node-ipc package to protest the invasion of Ukraine. Snyk. 2022-03-16 [2022-03-18]. （原始內容存檔於2022-04-09） （英語）.
- ^ Tal, Liran; Ben Josef, Assaf. Open source maintainer pulls the plug on NPM packages colors and faker, now what?. Snyk. 2022-01-10 [2025-01-09]. （原始內容存檔於2025-01-04） （英語）.
- ^ Node-ipc-dependencies-list. GitHub. 2022-03-19 [2022-03-18]. （原始內容存檔於2022-04-16） （英語）.
