开源 HTTP 客户端库 Axios 遭供应链劫持，恶意版本植入跨平台木马-低调大师

开源 HTTP 客户端库 Axios 遭供应链劫持，恶意版本植入跨平台木马

2026-03-31 46

知名开源HTTP客户端库axios近日遭遇严重供应链安全事件。攻击者通过劫持axios核心维护者的npm账户，发布了两个恶意版本（1.14.1和0.30.4），在数百万下载量的开源包中植入了跨平台远程访问木马（RAT）。网络安全公司StepSecurity第一时间发现并披露了这一攻击。

据介绍，此次攻击展现了极高的专业性和预谋性。攻击者首先劫持了一位axios核心维护者的npm账户，将其邮箱修改为ProtonMail匿名地址，绕过正常的GitHub Actions CI/CD流程，直接使用npm CLI手动发布了恶意版本。

与常见的直接篡改源代码不同，攻击者采用了更为隐蔽的依赖注入方式。恶意版本中新增了一个看似正常的依赖包plain-crypto-js@4.2.1，该包在axios源码中从未被引用，其唯一功能是通过postinstall脚本在安装时执行恶意代码。这种"影子依赖"技术使得代码审计难以发现异常，因为axios本身的代码是干净的。

攻击者构建了针对macOS、Windows和Linux三个主流平台的定制化载荷。安装恶意版本后，脚本会检测操作系统类型，从远程命令控制服务器下载对应的第二阶段攻击载荷。

在macOS上，木马使用AppleScript作为投递机制；Windows版本则结合VBScript和PowerShell；Linux平台采用Python脚本。这种跨平台设计表明攻击者并非临时起意，而是具备充足资源和技术能力的组织化行为。

更令人警惕的是，攻击者在部署恶意依赖包时展现了出色的操作安全意识。plain-crypto-js在axios恶意版本发布前18小时就已上传至npm，此举可规避安全扫描器中"新发布可疑包"的检测规则。两个主要版本分支（1.14.1和0.30.4）在39分钟内接连被攻破，时间配合精准。

恶意脚本的执行流程体现了高度的反取证设计。载荷运行后，木马会立即删除自身痕迹，并将package.json文件替换为干净的"诱饵"版本。这意味着开发者在事后检查node_modules目录时，几乎不可能发现任何异常——目录结构看起来完全正常，仿佛什么都没有发生过。

StepSecurity通过其Harden-Runner运行时监控工具，成功捕获了完整的攻击链。监控数据显示，恶意脚本确实与外部C2服务器建立了网络连接，确认了远程控制功能的实际激活。

axios是npm生态系统中下载量排名前十的包，每周下载量超过5000万次。这两个恶意版本在被下架前已有一定数量的下载，具体影响范围仍在评估中。

npm官方和axios维护团队已在接到披露后紧急下架了相关版本。安全专家建议：

立即检查项目中axios版本号，如安装过1.14.1或0.30.4，应假设系统已受感染
回退至安全版本（1.14.0或0.30.3）
对受影响的开发环境和服务器进行完整的安全审计
轮换所有可能暴露的敏感凭据

参考来源：

https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan
https://github.com/axios/axios/issues/10604

微信关注我们

原文链接：https://www.oschina.net/news/416141

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

壁仞科技 2025 年全年营收 10.3 亿元，同比增长 207%

壁仞科技发布 2025 年全年业绩公告称，实现 2025年全年营收10.3亿元，相较上年增长 207.2%。主要得益于旗舰通用GPU产品的规模化量产及交付、多个千卡智算集群的交付以及进一步扩展高质量客户群体的。 2025年，公司毛利为人民币5.57亿元，同比增长210.8%，毛利率达到 53.8%，同比增长63基点 (bps)。研发支出为 14.76 亿元，同比增长 78.5%。2025 年末研发人员达 689 人，新增授权专利 309 项。经调整年内亏损 8.7 亿元，上年同期为亏损 7.7 亿元。截至 2025 年底，壁仞科技现金及金融资产等资本来源总计 28.9 6亿元，2026 年初港股 IPO 所得款项净额人民币 56.31 亿元。2025 年期末存货为 9.49 亿元，同步增长 520.4%。壁仞科技称，公司成功交付多个大规模智算集群项目，包括 2048 卡光互连光交换 GPU 超节点集群和多个市场化的数千卡级智算集群，客户涵盖国家级算力平台、电信运营商、商业AIDC、AI/大模型公司，及企业客户。详情可查看下图：

2026-03-31

53

Ubuntu MATE 是 Martin Wimpress 于 2014 年创建的 Ubuntu 官方派生版本。时至今日，Martin Wimpress 发帖宣布，它将卸任该 Ubuntu Linux 版本的领导工作，希望寻找新的贡献者接手，继续推进该项目发展。随着又一个开发周期的结束，我发现自己已没有从前那般充裕的时间来投入 Ubuntu MATE 的工作。而且，坦白说，我对这个项目的热情也不复当年。当我有时间折腾时，我的兴趣早已转向其他地方。鉴于此，我希望能将项目管理权移交给那些有时间和精力投入 Ubuntu MATE 开发的贡献者。如果您是 Ubuntu 贡献者，且有维护 Ubuntu 软件仓库中软件包的经验，并对参与 Ubuntu MATE 开发感兴趣，请与我联系。 Ubuntu MATE 是一款稳定易用的操作系统，拥有可配置的桌面环境。它非常适合那些希望充分发挥电脑性能并偏爱传统桌面操作方式的用户。Ubuntu MATE 对硬件要求不高，既适用于现代工作站，也适用于单板计算机和老旧硬件。Ubuntu MATE 既能让现代计算机运行流畅，也能让旧电脑焕发新生。

2026-03-31

38

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。