关键要点
- 恶意的 Axios 版本 1.14.1 和 0.30.4 部署了远程访问木马。
- 谷歌将此次复杂的攻击归咎于朝鲜黑客组织 UNC1069。
- 此次漏洞影响了一个每周下载量达 1 亿次的库,敦促立即进行审计。
关键要点

“朝鲜黑客在供应链攻击方面拥有深厚经验,他们历来利用这些攻击来窃取加密货币,”谷歌威胁情报小组 (GTIG) 首席分析师 John Hultquist 在一份声明中表示。“这次事件的完整影响范围尚不明确,但考虑到受损软件包的普及程度,我们预计它将产生深远的影响。”GTIG 已将此次攻击归咎于朝鲜威胁行为者 UNC1069。
攻击始于 3 月 31 日,当时威胁行为者向 npm 注册表发布了恶意版本 [email protected] 和 [email protected]。这是通过入侵该项目首席维护者的 npm 账户并使用旧的长效令牌绕过项目更安全的基于 OIDC 的发布工作流实现的。恶意软件包包含一个幻象依赖项 plain-crypto-js,其中包含一个用于下载 RAT 的安装后脚本。
此次漏洞凸显了软件供应链中的一个关键漏洞,影响了近 17.5 万个依赖项目。攻击对开发环境和 CI/CD 流水线的影响可能会导致严重的凭证窃取和企业网络内的横向移动。对于像 Wiz 和 Snyk 这样的公司来说,这一事件强调了加强依赖管理和运行时验证的必要性,可能会增加对其安全扫描和威胁情报服务的需求。
攻击者展示了极高的操作复杂度。在主攻击发生前约 18 小时,一个名为 nrwise 的账户发布了一个干净的诱饵包 [email protected],以在 npm 注册表上建立合法历史记录。在 Axios 被入侵前不久,他们将其更新至 4.2.1 版本,其中包含恶意载荷。
受损的 Axios 版本将此恶意包添加为依赖项。当开发人员安装或更新 Axios 时,plain-crypto-js 中的 postinstall 脚本就会执行,联系位于 sfrclak.com 的命令与控制 (C2) 服务器以获取特定平台的恶意软件。
该恶意软件是一个跨平台 RAT,具有 Windows、macOS 和 Linux 变体。
/Library/Caches/com.apple.act.mond,并且可以对注入的载荷进行自签名以绕过 Gatekeeper。wt.exe) 的 PowerShell 脚本被复制到 %PROGRAMDATA%,并通过注册表 Run 键建立持久性。/tmp/ld.py 并执行。在部署载荷后,脚本尝试通过用干净版本替换恶意的 package.json 来抹除轨迹,从而误导可能检查已安装软件包的开发人员。
虽然恶意软件包在三小时内从 npm 注册表中移除,但 Axios 极高的下载速度意味着大量系统已被感染。Wiz 报告称,在其监测的受影响环境中,约有 3% 观察到恶意软件在执行。安全公司 Huntress 也报告了超过 100 台受影响的设备。
安全专家敦促立即采取行动。建议组织审计其项目锁定文件和 CI/CD 日志,查找 [email protected]、[email protected] 或 [email protected] 的任何迹象。
“不要尝试清理受感染的系统。请从已知的干净快照重新构建,”Snyk 研究人员建议。任何安装了这些版本的环境都应被视为完全沦陷。所有凭证,包括 npm 令牌、云提供商密钥和 SSH 密钥,必须撤销并重新签发。
为了长期防御,安全团队应考虑在自动化构建流水线中强制执行 npm ci --ignore-scripts,以防止恶意脚本运行。实施软件包账龄策略(阻止安装新发布的软件包)也可以防止此次攻击,因为恶意的 plain-crypto-js 依赖项发布不足一天。
本文仅供参考,不构成投资建议。