开源 HTTP 客户端库 Axios 遭供应链劫持，恶意版本植入跨平台木马-低调大师

开源 HTTP 客户端库 Axios 遭供应链劫持，恶意版本植入跨平台木马

2026-03-31 10

知名开源HTTP客户端库axios近日遭遇严重供应链安全事件。攻击者通过劫持axios核心维护者的npm账户，发布了两个恶意版本（1.14.1和0.30.4），在数百万下载量的开源包中植入了跨平台远程访问木马（RAT）。网络安全公司StepSecurity第一时间发现并披露了这一攻击。

据介绍，此次攻击展现了极高的专业性和预谋性。攻击者首先劫持了一位axios核心维护者的npm账户，将其邮箱修改为ProtonMail匿名地址，绕过正常的GitHub Actions CI/CD流程，直接使用npm CLI手动发布了恶意版本。

与常见的直接篡改源代码不同，攻击者采用了更为隐蔽的依赖注入方式。恶意版本中新增了一个看似正常的依赖包plain-crypto-js@4.2.1，该包在axios源码中从未被引用，其唯一功能是通过postinstall脚本在安装时执行恶意代码。这种"影子依赖"技术使得代码审计难以发现异常，因为axios本身的代码是干净的。

攻击者构建了针对macOS、Windows和Linux三个主流平台的定制化载荷。安装恶意版本后，脚本会检测操作系统类型，从远程命令控制服务器下载对应的第二阶段攻击载荷。

在macOS上，木马使用AppleScript作为投递机制；Windows版本则结合VBScript和PowerShell；Linux平台采用Python脚本。这种跨平台设计表明攻击者并非临时起意，而是具备充足资源和技术能力的组织化行为。

更令人警惕的是，攻击者在部署恶意依赖包时展现了出色的操作安全意识。plain-crypto-js在axios恶意版本发布前18小时就已上传至npm，此举可规避安全扫描器中"新发布可疑包"的检测规则。两个主要版本分支（1.14.1和0.30.4）在39分钟内接连被攻破，时间配合精准。

恶意脚本的执行流程体现了高度的反取证设计。载荷运行后，木马会立即删除自身痕迹，并将package.json文件替换为干净的"诱饵"版本。这意味着开发者在事后检查node_modules目录时，几乎不可能发现任何异常——目录结构看起来完全正常，仿佛什么都没有发生过。

StepSecurity通过其Harden-Runner运行时监控工具，成功捕获了完整的攻击链。监控数据显示，恶意脚本确实与外部C2服务器建立了网络连接，确认了远程控制功能的实际激活。

axios是npm生态系统中下载量排名前十的包，每周下载量超过5000万次。这两个恶意版本在被下架前已有一定数量的下载，具体影响范围仍在评估中。

npm官方和axios维护团队已在接到披露后紧急下架了相关版本。安全专家建议：

立即检查项目中axios版本号，如安装过1.14.1或0.30.4，应假设系统已受感染
回退至安全版本（1.14.0或0.30.3）
对受影响的开发环境和服务器进行完整的安全审计
轮换所有可能暴露的敏感凭据

参考来源：

https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan
https://github.com/axios/axios/issues/10604

微信关注我们

原文链接：https://www.oschina.net/news/416141

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

壁仞科技 2025 年全年营收 10.3 亿元，同比增长 207%

壁仞科技发布 2025 年全年业绩公告称，实现 2025年全年营收10.3亿元，相较上年增长 207.2%。主要得益于旗舰通用GPU产品的规模化量产及交付、多个千卡智算集群的交付以及进一步扩展高质量客户群体的。 2025年，公司毛利为人民币5.57亿元，同比增长210.8%，毛利率达到 53.8%，同比增长63基点 (bps)。研发支出为 14.76 亿元，同比增长 78.5%。2025 年末研发人员达 689 人，新增授权专利 309 项。经调整年内亏损 8.7 亿元，上年同期为亏损 7.7 亿元。截至 2025 年底，壁仞科技现金及金融资产等资本来源总计 28.9 6亿元，2026 年初港股 IPO 所得款项净额人民币 56.31 亿元。2025 年期末存货为 9.49 亿元，同步增长 520.4%。壁仞科技称，公司成功交付多个大规模智算集群项目，包括 2048 卡光互连光交换 GPU 超节点集群和多个市场化的数千卡级智算集群，客户涵盖国家级算力平台、电信运营商、商业AIDC、AI/大模型公司，及企业客户。详情可查看下图：

2026-03-31

6

Ubuntu MATE 是 Martin Wimpress 于 2014 年创建的 Ubuntu 官方派生版本。时至今日，Martin Wimpress 发帖宣布，它将卸任该 Ubuntu Linux 版本的领导工作，希望寻找新的贡献者接手，继续推进该项目发展。随着又一个开发周期的结束，我发现自己已没有从前那般充裕的时间来投入 Ubuntu MATE 的工作。而且，坦白说，我对这个项目的热情也不复当年。当我有时间折腾时，我的兴趣早已转向其他地方。鉴于此，我希望能将项目管理权移交给那些有时间和精力投入 Ubuntu MATE 开发的贡献者。如果您是 Ubuntu 贡献者，且有维护 Ubuntu 软件仓库中软件包的经验，并对参与 Ubuntu MATE 开发感兴趣，请与我联系。 Ubuntu MATE 是一款稳定易用的操作系统，拥有可配置的桌面环境。它非常适合那些希望充分发挥电脑性能并偏爱传统桌面操作方式的用户。Ubuntu MATE 对硬件要求不高，既适用于现代工作站，也适用于单板计算机和老旧硬件。Ubuntu MATE 既能让现代计算机运行流畅，也能让旧电脑焕发新生。

2026-03-31

5

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。