北京
Axios這個(gè)JavaScript庫你可能沒聽說過，但肯定用過。它藏在npm下載量前20的榜單里，每周被開發(fā)者拉取超過1.83億次——現(xiàn)在成了朝鮮黑客的投毒目標(biāo)。
Google威脅情報(bào)組GTIG上周發(fā)布預(yù)警，稱監(jiān)測到一場"活躍的軟件供應(yīng)鏈攻擊"。黑客盯上了Axios的兩個(gè)舊版本1.14.1和0.30.4，往里面塞了一個(gè)叫"plain-crypto-js"的惡意依賴。這東西是個(gè)混淆過的投放器，能在Windows、macOS和Linux上部署WAVESHAPER.V2后門。
GTIG給這個(gè)后門做了體檢：C++寫的遠(yuǎn)程控制工具，能提取系統(tǒng)信息、注入內(nèi)存執(zhí)行、跑任意shell命令。他們還抓到PowerShell和Python的變種，說明這套工具鏈已經(jīng)迭代過幾輪。
朝鮮黑客最近對npm生態(tài)的胃口越來越大。上個(gè)月他們剛用AI生成的面試視頻騙JavaScript開發(fā)者，現(xiàn)在又直接對公共包下手。GTIG的原話是：「數(shù)十萬被盜的密鑰可能正在流通」——翻譯一下，用這兩個(gè)版本的企業(yè)代碼倉庫，現(xiàn)在可能正在給平壤的服務(wù)器打白工。
Axios官方還沒發(fā)補(bǔ)丁。GTIG建議開發(fā)者鎖死版本號，或者干脆切到1.8.2之前的干凈版本。一個(gè)每周被下載上億次的庫，安全響應(yīng)的速度還不如黑客投毒的手速，這事本身就挺諷刺的。
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺“網(wǎng)易號”用戶上傳并發(fā)布，本平臺僅提供信息存儲服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
