axios 被投毒了。
周下载量 3 亿，JS 生态里最常用的 HTTP 库。攻击者劫持了核心维护者的 npm 账号，发了两个恶意版本：1.14.1 和 0.30.4。
axios 源码本身一行恶意代码都没有。
这个攻击者加了一个叫 plain-crypto-js 的依赖。整个 axios 代码库里没有任何地方 import 过它。它存在的唯一目的：在 npm install 时自动跑 postinstall 脚本，往你机器上投一个远控木马。macOS、Windows、Linux 全覆盖。
木马部署完成后，脚本把自己删了，把 package.json 换成一份干净的存根。你事后去查 node_modules，什么痕迹都看不到。npm audit 也查不出异常。
从 npm install 开始算，1.1 秒后机器已经在跟 C2 服务器通信。npm install 本身都还没跑完。
一个维护者的 token 泄露，潜在影响几百万台机器。
装了这两个版本的，官方建议：假设系统已被完全控制。降级到 1.14.0 / 0.30.3，轮换所有密钥和凭证。
https://x.com/i/status/2038871703963783312
周下载量 3 亿，JS 生态里最常用的 HTTP 库。攻击者劫持了核心维护者的 npm 账号，发了两个恶意版本：1.14.1 和 0.30.4。
axios 源码本身一行恶意代码都没有。
这个攻击者加了一个叫 plain-crypto-js 的依赖。整个 axios 代码库里没有任何地方 import 过它。它存在的唯一目的：在 npm install 时自动跑 postinstall 脚本，往你机器上投一个远控木马。macOS、Windows、Linux 全覆盖。
木马部署完成后，脚本把自己删了，把 package.json 换成一份干净的存根。你事后去查 node_modules，什么痕迹都看不到。npm audit 也查不出异常。
从 npm install 开始算，1.1 秒后机器已经在跟 C2 服务器通信。npm install 本身都还没跑完。
一个维护者的 token 泄露，潜在影响几百万台机器。
装了这两个版本的，官方建议：假设系统已被完全控制。降级到 1.14.0 / 0.30.3，轮换所有密钥和凭证。
https://x.com/i/status/2038871703963783312
Comments
Be the first to add a comment
Log in to comment