北京
Axios這個JavaScript庫你可能沒聽說過，但肯定用過。它藏在npm下載量前20的榜單里，每周被開發者拉取超過1.83億次——現在成了朝鮮黑客的投毒目標。
Google威脅情報組GTIG上周發布預警，稱監測到一場"活躍的軟件供應鏈攻擊"。黑客盯上了Axios的兩個舊版本1.14.1和0.30.4，往里面塞了一個叫"plain-crypto-js"的惡意依賴。這東西是個混淆過的投放器，能在Windows、macOS和Linux上部署WAVESHAPER.V2后門。
GTIG給這個后門做了體檢：C++寫的遠程控制工具，能提取系統信息、注入內存執行、跑任意shell命令。他們還抓到PowerShell和Python的變種，說明這套工具鏈已經迭代過幾輪。
朝鮮黑客最近對npm生態的胃口越來越大。上個月他們剛用AI生成的面試視頻騙JavaScript開發者，現在又直接對公共包下手。GTIG的原話是：「數十萬被盜的密鑰可能正在流通」——翻譯一下，用這兩個版本的企業代碼倉庫，現在可能正在給平壤的服務器打白工。
Axios官方還沒發補丁。GTIG建議開發者鎖死版本號，或者干脆切到1.8.2之前的干凈版本。一個每周被下載上億次的庫，安全響應的速度還不如黑客投毒的手速，這事本身就挺諷刺的。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
