中新经纬5月25日电 微信号“国家网络安全通报中心”25日发文称，主流JavaScript软件包管理平台npm遭供应链投毒攻击。
监测发现，全球主流JavaScript软件包管理平台npm遭“沙虫”(Shai-Hulud)供应链投毒攻击。攻击者攻陷了npm官方维护者账户，并在短时间内批量投放大量恶意软件包，涉及300余个独立程序包的600余个恶意版本，影响多个热门开源项目。
当开发者安装恶意依赖包后，程序会自动在本地主机、CI/CD流水线环境执行恶意代码，窃取GitHub Token、npm Token、云服务密钥、SSH私钥、Kubernetes凭据、数据库连接字符串等敏感信息。
此次投毒攻击具备极强蠕虫式自我复制与横向传播能力，攻击者可利用窃取的npm发布权限篡改和二次发布开发者名下的其他软件包，造成供应链风险持续扩散、危害持续升级。
主要受影响项目包括echarts-for-react、@antv系列核心库(@antv/g2、@antv/g6、@antv/x6等)、TanStack系列42个包、Mistral AI相关PyPI包以及timeago.js等社区包。受影响对象主要包括前端开发者、人工智能或机器学习开发者、开源项目维护者及企业研发人员等。
由于恶意软件具备蠕虫式传播能力，可自动重新发布受害者维护的其他包，导致共享开发环境的其他用户及依赖同一维护者发布的其他软件包的用户也可能面临间接感染风险。
处置建议提到五点：
一是隔离风险设备。若本地设备近期安装过相关受影响的npm依赖，建议暂停项目运行，并断开可疑设备网络连接，防止恶意代码继续外联。
二是排查依赖文件。检查package.json、package-lock.json、pnpm-lock.yaml、yarn.lock及node_modules目录，核实是否存在异常preinstall、postinstall等自动执行脚本。
三是清理残留痕迹。排查Claude Code hooks、VS Code任务配置等位置，检查是否存在router_runtime.js、setup.mjs等可疑文件，避免恶意代码在卸载依赖后继续残留。
四是更换敏感凭证。及时更新GitHub Token、npm Token、云服务密钥、SSH私钥、数据库密码等各类密钥与令牌，对关联账号执行“退出全部设备”操作。
五是提升安全意识。安装npm第三方依赖前，应核验项目官方来源、近期发布记录和脚本内容，不盲目安装热门包，优先选用安全稳定的官方版本。(中新经纬APP)
诺贝尔化学奖获得者阿龙・切哈诺沃：做研究保持好奇心很重要 中新网宁波3月17日电(林波)对于学生而言，如何找到研究的信心和价值，让他们有继续下去的动力？ “做研究保持好奇心很重要。”3月17日，2004年诺贝尔化学 美国《发现》杂志网站2月7日刊登题为《200万年前，我们的人类祖先开始从水里捞鱼》的文章，作者是科迪·科蒂尔，内容编译如下：捕鱼可能是一种占许多国家蛋白质消费极大比例的全球性行为，但捕 今年1月，英国分子生物学家肖尔托·戴维发表文章，指控美国哈佛大学医学院附属丹娜-法伯癌症研究所科学家通过修改图片伪造数据。随后该研究所正式宣布撤回6篇论文，并纠正了另外31篇论文的 再打一局游戏就睡，再刷几个视频就睡，终于放下手机，关灯睡觉了……结果翻来覆去睡不着，半夜醒来再也睡不着，为什么明明睡着了，睡眠质量却不高？3月21日是世界睡眠日，最新发布的《2024中国 3月22日消息，数码闲聊站爆料称，xiaomi15 Pro将采用5000万像素的超大底三摄方案，其中一颗是全新的潜望长焦镜头。据资料显示，xiaomi11 Pro配备了潜望长焦镜头，而后续的12 Pro、13 Pro和14 Pro等机型则 在近日开幕的中国国际核工业展览会上，中国核学会理事会党委书记、理事长王寿君表示，中国内地现有在运核电机组55台、居全球第三；在建核电机组26台，保持全球第一。这些成绩的取得，离不开智能化技术 。本文链接：警惕！npm平台遭“沙虫”攻击，影响多个热门开源项目http://www.sushuapos.com/show-2-16378-0.html
声明：本网站为非营利性网站，本网页内容由互联网博主自发贡献，不代表本站观点，本站不承担任何法律责任。天上不会到馅饼，请大家谨防诈骗！若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。
上一篇： 华为反手“韬”大招，芯片股涨“疯”了