Next.js 项目中的恶意代码分析
编辑点评 · AI 连续创业者视角（以下内容由 AI 提炼，观点归原作者；读完可不看原文）
本文分析了名为 BeaverTail、InvisibleFerret 和 TsunamiKit 的恶意代码，这些代码通过一个看似普通的 Next.js 内存游戏进行多阶段感染。攻击链涉及 JavaScript、私有 Python 运行时、远程访问后门和复杂的 TsunamiKit 加载器。分析显示，攻击者使用 TsunamiInjector 隐藏了 1000 个 Pastebin 账户 URL，并准备了一个误导性的 Runtime Broker.exe 安装程序。
- 加强代码审查
- 使用安全工具检测依赖项
- 定期更新软件
- 监控 Pastebin 等平台以发现恶意 URL
- 了解最新的网络安全威胁
一、这是什么机会
针对企业开发团队与独立创业者的“零日漏洞挖掘与应急溯源服务”。核心产品并非售卖软件，而是提供“白帽猎人”视角的安全审计与取证分析，解决中小团队因缺乏专职安全团队而面临的供应链投毒风险。收费模式为按次订阅的威胁情报订阅费，加上紧急事件响应的咨询费。
二、独立判断
值得做。原文案例显示，攻击者利用看似无害的 Next.js 项目（memaudio v1.19.0）植入多阶段恶意代码，且涉及朝鲜背景（Lazarus关联），说明威胁已渗透至主流前端框架生态。普通开发者无法识别 .npl 加载器或 Python 运行时文件，存在巨大的认知差与付费意愿。需注意，这是高门槛服务，非标准化 SaaS，依赖资深专家。
三、冷启动路径
第一步验证：在 GitHub 或 X 上发布 3 篇针对近期热门开源库的“隐藏恶意行为”科普帖，不卖课只讲干货，测试互动率。成本极低，仅需人力时间。周期 2 周。若文章带来 5 家以上企业询盘，即可启动首单。
四、最大风险与避坑
致命坑在于“技术变现周期长”与“信任建立慢”。应对：初期不接纯代码审计，先卖“依赖项安全体检”标准化服务（自动化工具+人工复核），将报价压低至 5000 元以内以降低决策门槛。另一坑是误报，必须保留完整证据链（如 SHA-256 哈希匹配）作为免责护甲。
五、案例复盘（别人怎么做的）
- 样本获取：从 Bitbucket 仓库 hxxps://bitbucket[.]org/md-15/music-game[.]git 克隆 Next.js 项目，表面是音频记忆游戏。
- 触发点定位：发现 babel.config.js 中引入了未使用的 ./__mocks__/audio-config，其副作用是在构建时执行恶意 JS。
- 时间线锁定：2025-02-11 13:08:02 出现 npm 依赖解析报告，13:09:15 起 .pyp 目录瞬间生成 6551 个 Python 3.11 文件，完成环境静默植入。
- 后门分析：.n2/bow 组件包含 TsunamiInjector，隐藏了 1000 个 Pastebin 配置文件 URL，准备下载 Runtime Broker.exe。
- 关联溯源：将 Startup 脚本解码后的 SHA-256 哈希值与 bow 组件比对，确认二者模板一致，实锤攻击链完整性。
六、双轨可执行性
跨境：可行。面向欧美初创公司出售安全审计，需持 SOC2 或相关合规背书，通过 Upwork 高端频道获客；国内：可行。面向出海团队或金融科技客户，主打“防供应链投毒”专项，定价对标咨询公司初级分析师时薪的 30%。
原文 · DEV Community：阅读原文 →
