⚠️Apifox 供应链投毒攻击
- 内容介绍
- 文章标签
- 相关推荐
https://mp.weixin.qq.com/s/GpACQdnhVNsMn51cm4hZig 官方通告
白帽酱深度分析：Apifox 供应链投毒攻击 — 完整技术分析
image1470×1780 374 KB
Apifox 供应链投毒攻击 开发调优详细的过程分析推荐看这位博主发的文章～
一、概述
近日，工作中监测到 Apifox 文件存在被投毒情况。
Apifox 是一款 API 一体化协作平台，其桌面端应用基于 Electron 框架开发，提供 Windows、macOS、Linux 三平台客户端。因未严格启用 sandbox 参数，并暴露了 Node.js 的 API 接口，导致攻击者可通过 JS 控制 Apifox 的终端——三个平台均受影响。
Apifox 在启动过程中会加载：
hxxps://cdn[.]apifox[.]com/www/assets/js/apifox-app-event-tracking.min.js
该文件正常大小为 34KB，但在 3 月 4 日之后可能会请求到被投毒的版本（77KB）。被投毒的 JS 文件会动态加载 hxxps://apifox[.]it[.]com/public/apifox-event.js （该域名非官方域名），在满足特定条件下加载攻击载荷，采集主机系统环境和敏感信息（SSH 密钥、Git 凭证、命令行历史、进程列表），上报到 hxxps://apifox[.]it[.]com/event/0/log 。后续攻击者会控制主机拉取执行后门程序，并尝试发起横向攻击，控制更多有价值目标。
目前入口文件已被还原，仅在 Wayback Machine 存档中可见投毒版本。
关于 apifox.it.com 域名
攻击者使用的 C2 域名 apifox.it.com 极具迷惑性，值得单独说明.
.it.com 并非意大利国别域名 .it 的子域，而是一个商业性质的二级域名服务，由it.com 域名持有者提供类似"子域名注册"的商业服务。它不属于 ICANN 标准注册局体系，不受标准 gTLD/ccTLD 监管约束，无公开 WHOIS 信息可查，注册门槛极低，非常适合被攻击者滥用。
MAC排查
macOS 路径：~/Library/Application Support/Apifox/Local Storage/leveldb
Windows 路径：C:\Users\<你的用户名>\AppData\Roaming\Apifox 或 C:\Users\<你的用户名>\AppData\Local\Apifox
如果在 leveldb 中发现 rl_mc 和 rl_headers，就说明已经中招了。
样本
放在评论了 :⚠️Apifox 供应链投毒攻击 - #48，来自 RTAi-Lab
恶意载荷还原代码
phith0n分析：Apifox CDN 投毒事件 - 恶意载荷还原代码：https://gist.github.com/phith0n/7020c55bf241b2f3ccf5254192bd48a5
259f1c846d031b99523fc50ee55bec87668×371 27.7 KB
二、缓解措施
目前官方暂未更新相关补丁。建议限制与
apifox[.]it[.]com
cdn[.]openroute[.]dev
upgrade[.]feishu[.]it[.]com
system[.]toshinkyo[.]or[.]jp
ns[.]feishu[.]it[.]com
等域名的连接。通过防火墙或者 DNS 层面来阻断恶意非官方域名，还可通过流量监测，监控 js 文件大小等措施来做好防护。
最新版本不受影响，重新安装启动不会请求这个域名
网友解答：--【壹】--：
启动时看看有没有通讯这域名
--【贰】--：
佬，这个要怎么自查
--【叁】--：
建议佬们排查自己电脑
--【肆】--：
这个 CDN 位置上属于 Apifox，怎么说投毒也是内部所为吧；还使用近似名称的伪装域名，这和 NPM 那些依赖链条上的投毒可以说是大不同了。
--【伍】--： RTAi-Lab:
apifox.it.com
我的个人经验就是启动看有无通讯： apifox.it.com
--【陆】--：
卧槽 我说怎么 apifox 强制更新了 怎么排查有没有中毒
--【柒】--：
image1463×323 26.5 KB
这是中招了吗 大佬
--【捌】--： RTAi-Lab:
apifox-app-event-tracking.min.js
看到了，在线加载有被劫持风险。
--【玖】--：
[!quote]-all in ai ——— 人力层面的
f5585ab6c8fe7ba292d034ffb565cf77660×946 77.2 KB
话说这个url 是怎么混进去的？还精准针对apifox
--【拾】--： RTAi-Lab:
apifox-app-event-tracking.min.js
这个包是apifox 内部js ，不是第三方的；事件统计这种包也不大会动态下发。
那在他们的git 提交记录应该能轻易找到，只是看他们内部怎么处理了。
--【拾壹】--：
这家老板上次是不是有什么逆天发言？
--【拾贰】--：
CDN 上的 JS
--【拾叁】--：
怎么最近到处投毒
--【拾肆】--：
image1829×404 202 KB
--【拾伍】--：
火速开始排查，我靠
--【拾陆】--：
看apifox-app-event-tracking.min.js的大小，没被投毒的版本是34kb
--【拾柒】--：
我现在用apipost 感觉比这个用起来舒服
--【拾捌】--：
我估计是引用了什么包
--【拾玖】--：
这和供应链投毒有什么关系
https://mp.weixin.qq.com/s/GpACQdnhVNsMn51cm4hZig 官方通告
白帽酱深度分析：Apifox 供应链投毒攻击 — 完整技术分析
image1470×1780 374 KB
Apifox 供应链投毒攻击 开发调优详细的过程分析推荐看这位博主发的文章～
一、概述
近日，工作中监测到 Apifox 文件存在被投毒情况。
Apifox 是一款 API 一体化协作平台，其桌面端应用基于 Electron 框架开发，提供 Windows、macOS、Linux 三平台客户端。因未严格启用 sandbox 参数，并暴露了 Node.js 的 API 接口，导致攻击者可通过 JS 控制 Apifox 的终端——三个平台均受影响。
Apifox 在启动过程中会加载：
hxxps://cdn[.]apifox[.]com/www/assets/js/apifox-app-event-tracking.min.js
该文件正常大小为 34KB，但在 3 月 4 日之后可能会请求到被投毒的版本（77KB）。被投毒的 JS 文件会动态加载 hxxps://apifox[.]it[.]com/public/apifox-event.js （该域名非官方域名），在满足特定条件下加载攻击载荷，采集主机系统环境和敏感信息（SSH 密钥、Git 凭证、命令行历史、进程列表），上报到 hxxps://apifox[.]it[.]com/event/0/log 。后续攻击者会控制主机拉取执行后门程序，并尝试发起横向攻击，控制更多有价值目标。
目前入口文件已被还原，仅在 Wayback Machine 存档中可见投毒版本。
关于 apifox.it.com 域名
攻击者使用的 C2 域名 apifox.it.com 极具迷惑性，值得单独说明.
.it.com 并非意大利国别域名 .it 的子域，而是一个商业性质的二级域名服务，由it.com 域名持有者提供类似"子域名注册"的商业服务。它不属于 ICANN 标准注册局体系，不受标准 gTLD/ccTLD 监管约束，无公开 WHOIS 信息可查，注册门槛极低，非常适合被攻击者滥用。
MAC排查
macOS 路径：~/Library/Application Support/Apifox/Local Storage/leveldb
Windows 路径：C:\Users\<你的用户名>\AppData\Roaming\Apifox 或 C:\Users\<你的用户名>\AppData\Local\Apifox
如果在 leveldb 中发现 rl_mc 和 rl_headers，就说明已经中招了。
样本
放在评论了 :⚠️Apifox 供应链投毒攻击 - #48，来自 RTAi-Lab
恶意载荷还原代码
phith0n分析：Apifox CDN 投毒事件 - 恶意载荷还原代码：https://gist.github.com/phith0n/7020c55bf241b2f3ccf5254192bd48a5
259f1c846d031b99523fc50ee55bec87668×371 27.7 KB
二、缓解措施
目前官方暂未更新相关补丁。建议限制与
apifox[.]it[.]com
cdn[.]openroute[.]dev
upgrade[.]feishu[.]it[.]com
system[.]toshinkyo[.]or[.]jp
ns[.]feishu[.]it[.]com
等域名的连接。通过防火墙或者 DNS 层面来阻断恶意非官方域名，还可通过流量监测，监控 js 文件大小等措施来做好防护。
最新版本不受影响，重新安装启动不会请求这个域名
网友解答：--【壹】--：
启动时看看有没有通讯这域名
--【贰】--：
佬，这个要怎么自查
--【叁】--：
建议佬们排查自己电脑
--【肆】--：
这个 CDN 位置上属于 Apifox，怎么说投毒也是内部所为吧；还使用近似名称的伪装域名，这和 NPM 那些依赖链条上的投毒可以说是大不同了。
--【伍】--： RTAi-Lab:
apifox.it.com
我的个人经验就是启动看有无通讯： apifox.it.com
--【陆】--：
卧槽 我说怎么 apifox 强制更新了 怎么排查有没有中毒
--【柒】--：
image1463×323 26.5 KB
这是中招了吗 大佬
--【捌】--： RTAi-Lab:
apifox-app-event-tracking.min.js
看到了，在线加载有被劫持风险。
--【玖】--：
[!quote]-all in ai ——— 人力层面的
f5585ab6c8fe7ba292d034ffb565cf77660×946 77.2 KB
话说这个url 是怎么混进去的？还精准针对apifox
--【拾】--： RTAi-Lab:
apifox-app-event-tracking.min.js
这个包是apifox 内部js ，不是第三方的；事件统计这种包也不大会动态下发。
那在他们的git 提交记录应该能轻易找到，只是看他们内部怎么处理了。
--【拾壹】--：
这家老板上次是不是有什么逆天发言？
--【拾贰】--：
CDN 上的 JS
--【拾叁】--：
怎么最近到处投毒
--【拾肆】--：
image1829×404 202 KB
--【拾伍】--：
火速开始排查，我靠
--【拾陆】--：
看apifox-app-event-tracking.min.js的大小，没被投毒的版本是34kb
--【拾柒】--：
我现在用apipost 感觉比这个用起来舒服
--【拾捌】--：
我估计是引用了什么包
--【拾玖】--：
这和供应链投毒有什么关系