ZONE.CI 全球网

Tensorlake官方TypeScriptSDK的npm包[email protected]遭Shai-Hulud蠕虫投毒，恶意版本经官方GitHubActions流水线发布并携带有效构建来源证明，攻击者通过preinstall钩子在npminstall时触发恶意代码，窃取npm、GitHub、云服务等9类凭据并自我传播至受害者其他npm包。建议立即固定版本至0.5.143，全量轮换凭据并排查异常外联。

国家计算机病毒应急处理中心通报82款违法违规收集使用个人信息的移动应用，IDCFCloud服务因勒索软件攻击中断，Tensorlakenpm包遭入侵，Nexus交换机存在关键漏洞，涉及个人信息、云服务中断、供应链攻击和远程代码执行等问题。

TensorlakeSDK0.5.144版本遭供应链投毒，攻击者盗用GitHub管理员账号植入MiniShai-Hulud窃密蠕虫，经官方发布流水线推送至NPM。蠕虫窃取开发者凭证、云资产及AI工具配置，并通过区块链等通道维持C2。建议开发者排查安装记录，关注悬镜情报预警。