重點整理
- 新型惡意程式 WeaselBiscuit 藏在 13 個開源程式碼套件中散佈。
- 該程式專門竊取 Chrome 瀏覽器擴充功能的底層儲存空間資料。
- 攻擊手法輕量化且直接在記憶體執行，容易避開傳統防毒軟體偵測。
- 企業應規範開發環境套件來源，並加強員工瀏覽器擴充功能的使用管理。
提到資安威脅，許多中小企業主第一個想到的可能是勒索軟體或詐騙郵件。但您知道嗎？現在連網站開發者用來搭建網站的「基礎零件」，都可能被駭客動了手腳。最近資安研究員發現，有惡意程式潛伏在程式開發者常用的開源套件中，專門竊取瀏覽器裡的敏感資料。這對有在開發網站、維護內部系統，或是員工習慣安裝各種 Chrome 瀏覽器擴充功能的企業來說，是一個不容忽視的新型態威脅。
什麼是 WeaselBiscuit？它如何藏在開發工具中？
資安研究員近期發現了一個名為 WeaselBiscuit 的新型惡意程式。它是一種 Stealer（專門用來竊取電腦內敏感資料的木馬程式），並且被藏在 13 個 npm（前端開發者常用的開源程式碼套件庫）套件中。
當工程師在開發網站或內部系統時，如果不小心引入這些受污染的套件，惡意程式就會被觸發。WeaselBiscuit 的設計非常輕量化，資安專家指出，它的功能借鑒了北韓駭客組織常用的 BeaverTail 和 OtterCookie 惡意程式，但去除了許多龐大的功能，因此體積更小、更難被察覺。
它的運作方式也很狡猾：它不會在電腦硬碟裡留下明顯的檔案，而是直接從網路上下載惡意程式碼，並在電腦的「記憶體」中直接執行。這種方式可以有效避開許多傳統防毒軟體的掃描。
不偷密碼，卻偷走更致命的「瀏覽器擴充功能資料」
WeaselBiscuit 最特別的地方在於，它沒有遠端控制功能，也沒有複雜的加密貨幣錢包破解程式，而是專注於竊取 Chrome extension storage（Chrome 瀏覽器擴充功能用來存放使用者資料與狀態的儲存空間）。
這為什麼對企業很危險？因為許多員工在辦公時，會在 Chrome 瀏覽器安裝各種擴充功能，例如：密碼管理工具、內部系統快速登入輔助、甚至是專案管理外掛。這些擴充功能為了方便使用者，會將登入狀態、帳號資訊或敏感資料存放在上述的儲存空間中。
WeaselBiscuit 會直接將這些擴充功能底層的資料庫檔案（LevelDB 鍵值儲存庫）原封不動地打包，並上傳給駭客。這意味著，即使員工沒有主動輸入密碼，只要瀏覽器擴充功能裡存有公司的內部系統登入狀態或敏感資料，就可能被駭客一網打盡，進而危及公司內部的系統安全。
中小企業該如何防範這類隱藏風險？
雖然這次的事件主要針對網站開發者，但中小企業若使用相同技術建置內部系統，或是員工的辦公電腦受到影響，公司資料仍可能面臨外洩風險。您可以從以下幾個方向來加強防護：
- 規範開發環境來源：如果公司有內部 IT 或外包團隊開發網站，請確保他們使用的開源套件來源明確，並定期更新套件版本。
- 管理瀏覽器擴充功能：提醒員工謹慎安裝 Chrome 擴充功能，盡量只安裝官方認證或公司 IT 部門允許的外掛，並定期清理不需要的擴充功能。
- 建立主機監控機制：確保公司對外網站與內部系統的主機環境，有持續性的安全監控，以便在發生異常連線或資料外洩時能第一時間察覺。
崴米的建議
面對層出不窮的資安威脅，中小企業不需要養龐大的 IT 團隊，但必須建立正確的安全觀念與防護機制。針對這次的瀏覽器與網站供應鏈攻擊，崴米給您兩個可以馬上落實的建議：
首先，請定期檢視公司網站與內部系統的底層環境，確保開發與上架流程安全，避免引入來源不明的程式碼。其次，網站上線後不能放著不管，建議將網站與主機交給專業團隊進行日常監控，及早發現異常連線或潛在風險。
如果您希望讓公司網站與主機環境有更完善的把關，歡迎了解我們的網站代管維護與主機監看服務，讓專業團隊為您守護數位資產的安全。
參考來源：WeaselBiscuit Stealer Spreads via 13 npm Packages to Harvest Chrome Extension Storage
