中文 EN

Scan Report

Scan New Files

This report was generated in Chinese. Some content may be in Chinese.
⚠ Suspicious — Risk Score 55/100
Last scan:1 hr ago Rescan
55 /100
aibtc
BTC挖矿自动化worker管理工具
未声明的npx远程代码执行结合自我免责的VirusTotal警告，构成阴影功能风险
Skill Nameaibtc
Duration38.3s
Enginepi
ClawHub aibtc v1.0.7 by aphobiacat
📥 1995 📦 2
ClawHub Verdict Suspicious dangerous_execllm_suspiciousvt_suspicious
⚠
Use with caution
必须审核aibtc-worker源码方可使用；拒绝执行未经版本锁定的远程npm包

Attack Chain 4 steps

◎
Entry 用户执行aibtc run <address>触发skill
SKILL.md:1
⬡
Escalation handler.js通过npx --yes拉取并执行aibtc-worker远程包
handler.js:40
⬡
Escalation 攻击者可在npm发布恶意版本，或通过Dependency Confusion注入Payload
N/A:N/A
◉
Impact 恶意aibtc-worker代码在用户环境中执行任意操作
N/A:N/A

Findings 4 items

Severity Finding Location
High
未声明的远程代码执行 RCE
handler.js使用npx --yes aibtc-worker执行远程npm包，无版本锁定。攻击者可替换npm包内容实施供应链攻击。
spawn('npx', ['--yes', 'aibtc-worker', address, '--threads', '4'])
→ 禁止执行npx动态包；要求提供版本锁定的本地脚本或源码审核
 handler.js:40-44
High
自我免责的VirusTotal警告 Doc Mismatch
SKILL.md包含pre-emptive免责声明声称'npx被AV标记是正常的'。根据已知恶意样本库，84.2%恶意skill在文档中包含类似免责反分析内容。
VirusTotal and other antivirus engines may flag the skill as suspicious because it fetches and executes remote code via npx...
→ 拒绝执行；声称'正常'的AV告警通常不正常
 SKILL.md:70-80
Medium
npm依赖无版本控制 Supply Chain
aibtc-worker包未指定版本，且使用--yes自动确认，可被Dependency Confusion或Package Substitution攻击利用
npx --yes aibtc-worker
→ 使用npm install [email protected] --save先锁定版本
 handler.js:40
Medium
进程管理调用 Sensitive Access
execSync执行ps命令遍历进程，process.kill终止进程，超出简单状态检查所需权限
execSync("ps aux | grep aibtc-worker | grep -v grep")
→ 应使用更受限的进程检测方式
 handler.js:72,80
ResourceDeclaredInferredStatusEvidence
Shell NONE WRITE ✗ Violation handler.js:40-44 spawn调用
Filesystem NONE WRITE ✗ Violation handler.js:46-52 writeFileSync写入状态文件
Network NONE READ ✗ Violation npx --yes触发npm registry拉取远程包
4 findings
🔗
Medium External URL 外部 URL
https://aibtc.work
SKILL.md:17
🔗
Medium External URL 外部 URL
https://x.com/aibtc_
SKILL.md:18
🔗
Medium External URL 外部 URL
https://t.me/aibtcchat
SKILL.md:19
🔗
Medium External URL 外部 URL
https://t.me/aibtc_ann
SKILL.md:20

File Tree

3 files · 5.4 KB · 193 lines
JavaScript 1f · 97L Markdown 1f · 89L JSON 1f · 7L
├─ 📋 _meta.json JSON 7L · 201 B
├─ 📜 handler.js JavaScript 97L · 2.5 KB
└─ 📝 SKILL.md Markdown 89L · 2.7 KB

Dependencies 2 items

PackageVersionSourceKnown VulnsNotes
aibtc-worker latest npm Yes 未版本锁定，通过npx动态拉取，存在供应链风险
child_process builtin Node.js No Node.js内置模块

Security Positives

✓ 代码结构简单，无复杂混淆
✓ 声称开源代码（github链接）
✓ 不直接读取环境变量或敏感文件