npm 中的恶意 AsyncAPI 包：供应链攻击
图片： BleepingComputer
简要回答
npm 中的恶意 AsyncAPI 包被发现正在传播窃取凭据的木马，作为供应链攻击的一部分。此事件威胁到使用受感染依赖项的开发者，并凸显加强安全措施的必要性。
npm 仓库中已识别出五个与 AsyncAPI 相关的恶意包版本。攻击者利用这些包传播远程访问木马，能从受感染设备窃取凭据和其他敏感信息。
此供应链攻击影响了在项目中使用这些包的开发者。恶意代码伪装成合法更新，增加了检测难度。网络安全专家指出，此类事件在开源生态系统中变得越来越常见。
专家建议开发者在安装前仔细审查依赖项，并使用自动化安全分析工具（如 npm audit）。同时，及时关注所用库的更新和漏洞通知也至关重要。
AsyncAPI 项目已从仓库中移除了受感染的包版本，但该事件提醒开发者在使用第三方组件时需加强安全措施。
常见问题
- npm 环境下的供应链攻击是什么？
- npm 环境下的供应链攻击是指将恶意代码注入流行的包或库中，攻击者随后利用这些包向安装这些依赖项的开发者分发恶意软件。
- 如何防范 npm 中的恶意包？
- 为保护自身，建议验证包的声誉、使用依赖分析工具（如 npm audit），并仅从可信来源更新依赖项。同时密切关注所用库的漏洞报告也至关重要。
- npm 包中的恶意软件可能窃取哪些数据？
- 恶意包可能窃取凭据、浏览器数据、Cookie、系统信息以及设备上存储的其他敏感数据。
分享：
Dzen 订阅： /feed/dzen.xml · RSS： /feed.xml