ESLint 的 NPM 账户遭黑客攻击，可能窃取用户 NPM 访问令牌

7 月 12 日，黑客攻击了 ESLint 维护者的 NPM 帐户，并将带有病毒的 eslint-scope 和 eslint-config-eslint 软件包发布到 NPM 注册表中。带有恶意病毒的软件包在安装时，计算机会自动下载并执行 pastebin.com 代码，然后将含有 NPM 访问令牌的.npmrc 文件内容发送给攻击者。

事件的起因是由于帐户遭到入侵的维护者在其他几个网站上设置的密码和 npm 上的一样，并且没有在他们的 npm 帐户上启用双重身份验证。

对此，ESLint 团队表示：

我们对此表示遗憾，我们希望其他软件包维护者可以从我们的错误中吸取教训并提高整个 npm 生态系统的安全性。

恶意程序包包含在 eslint-scope@3.7.2 和 eslint-config-eslint@5.0.2 中，目前，它们都已经从 npm 中被移除出去了，pastebin.com 在这些包中的链接也已被删除。

npm 也已撤销在 2018-07-12 12:30 UTC 之前发出的所有访问令牌。因此，受此攻击影响的所有访问令牌都不再可用。

受影响的包

• eslint-scope@3.7，是几个流行包的依赖项，包括一些旧版本的 eslint 和最新版本的 babel-eslint 和 webpack。
• eslint-config-eslint@5.0 是 ESLint 团队内部使用的配置，在其他地方使用很少。

据报道，受损版本是 eslint-scope 3.7.2，是昨天发布的版本。3.7.1 和 4.0.0 是安全的。如果你昨天已完成 npm 安装，请重置你的 NPM 令牌并再次安装 npm。如果你使用了 eslint-scope 3.7.2、ESLint 4 或任何版本的 Babel-ESLint（尚未更新到 4.0.0），则会受到影响。

如果你运行自己的 npm 注册表，则应删除带有恶意病毒的软件包，它们在 npmjs.com 注册表中已经被删除了。

攻击方式： https://gist.github.com/hzoo/51cb84afdc50b14bffa6c6dc49826b3e

官方建议

• 软件包维护者和用户应避免在多个不同的站点上重复使用相同的密码，1Password 或 LastPass 这样的密码管理器可以帮助解决这个问题。
• 包维护者应该启用 npm 双重身份验证，可参照 npm 上的指南（ https://docs.npmjs.com/getting-started/using-two-factor-authentication ）。
• 如果你使用 Lerna，则可以按此操作（ https://github.com/lerna/lerna/issues/1091 ）。
• 软件包维护者应审核并限制有权在 npm 上发布的人数。
• 软件包维护者应注意使用任何自动合并依赖项的升级服务。
• 应用程序开发人员应使用 lockfile（package-lock.json 或 yarn.lock）来阻止自动安装新软件包。

时间线

• 事件发生之前：攻击者可能在第三方攻击中发现维护者重复使用的电子邮件和密码，并使用它们登录维护者的 npm 帐户。
• 2018 年 7 月 12 日凌晨：攻击者在维护者的 npm 帐户中生成了一个身份验证令牌。
• 2018-07-12 9:49 UTC：攻击者使用生成的身份验证令牌发布 eslint-config-eslint@5.0.2，其中包含泄露本地计算机.npmrc 身份验证令牌的恶意脚本 postinstall。
• 2018-07-12 10:25 UTC：攻击者删除 eslint-config-eslint@5.0.2。
• 2018-07-12 10:40 UTC：攻击者发布 eslint-scope@3.7.2，其中包含相同的恶意 postinstall 脚本。
• 2018-07-12 11:17 UTC：用户发布了 eslint / eslint-scope＃39（ https://github.com/eslint/eslint-scope/issues/39 ），通知 ESLint 团队出现此问题。
• 2018-07-12 12:27 UTC：包含恶意代码的 pastebin.com 链接被删除。
• 2018-07-12 12:37 UTC：npm 团队在与 ESLint 维护人员联系后将 eslint-scope@3.7.2 删除。
• 2018-07-12 17:41 UTC：ESLint 团队发布 eslint-scope@3.7.3 和 eslint-scope@3.7.1 的代码，以便缓存可以获取新版本。
• 2018-07-12 18:42 UTC：npm 撤销了在 2018-07-12 12:30 UTC 之前生成的所有访问令牌。

相关链接

原始报告： https://github.com/eslint/eslint-scope/issues/39

npm 报告： https://status.npmjs.org/incidents/dn7c1fgrr7ng