文章总结： Apifox桌面客户端遭遇供应链投毒攻击，攻击者篡改官方CDN上的JS文件植入后门，利用Electron未启用沙盒等缺陷窃取SSH私钥、Git凭证等敏感信息并实现远程命令执行。受影响用户为2026年3月4日至22日期间使用低于2.8.19版本的用户，建议立即升级至2.8.19或更高版本、排查重置敏感凭证并封禁恶意域名。 综合评分： 90 文章分类： 供应链安全,威胁情报,漏洞分析,应急响应,安全大事件

又一个开发工具沦陷，Apifox遭供应链投毒攻击

原创

威胁情报中心 威胁情报中心

奇安信威胁情报中心

2026年3月26日 18:21 北京

概述

Apifox是被广大开发者用于API开发、测试、联调的一款工具，它集API文档管理、API调试、API数据Mock、API自动化测试于一体。其桌面客户端基于Electron框架开发，支持Windows/macOS/Linux三端。近期，Apifox遭遇供应链投毒攻击，攻击者篡改了Apifox官方CDN上的动态JS文件，在大量开发者电脑上植入隐蔽后门，最终可实现凭证窃取和远程命令执行等恶意功能。此次攻击影响公网SaaS版桌面客户端（Electron 框架），Web版和私有化部署版不受影响。

事件时间线

（1）2026年3月4日，恶意代码开始出现在官方CDN上托管的JS文件中。

（2）3月22日左右，攻击者使用的C2恶意域名（apifox.it[.]com）C2域名下线，存活18天。

（3）3月25日，多名安全研究人员发布此次攻击事件的技术分析[1, 2]，当天Apifox发布正式安全公告[3]。

攻击分析

官方CDN上被篡改的JS文件为”hxxps://cdn.apifox.com/www/assets/js/apifox-app-event-tracking.min.js”，原有代码是Apifox用于事件追踪的SDK，在Apifox启动过程中加载，正常大小为34KB。但在3月4日之后请求到的文件体积膨胀至77KB，其中添加了恶意代码，使得投毒后的JS文件动态加载”hxxps://apifox[.]it[.]com/public/apifox-event.js”。

其中apifox[.]it[.]com为攻击者模仿官方域名使用的恶意域名。由于Apifox桌面客户端基于Electron开发，未严格启用sandbox参数，且暴露了Node.js API（fs、child_process、os、crypto等），导致渲染进程可直接访问本地文件系统和执行系统命令。

恶意代码

投毒后的JS文件结构前面一部分为经过Webpack打包的合法事件追踪代码，然后增加了约40KB的恶意载荷。加入的恶意代码经过大量混淆，使用包括字符串数组与洗牌（shuffling）、RC4、代理函数、十六进制常量等在内的常用混淆手段，此外若对代码做过度格式化，运行时可能触发反分析逻辑[4]。

攻击过程

（1）初始触发

客户端启动时动态加载被投毒的apifox-app-event-tracking.min.js。首先采集设备信息，包括MAC地址、CPU、主机名、用户名、OS版本等。若有Apifox accessToken，调用官方API “https://api.apifox.com/api/v1/user”窃取使用者的邮箱/姓名。窃取的信息加密后作为HTTP请求中的自定义请求头发送给C2服务器。

（2）获取后续载荷

向C2服务器apifox[.]it[.]com发送GET请求，获取”/public/apifox-event.js”。服务器需要客户端携带齐全上一阶段存放收集信息的自定义请求头，才会返回响应。响应内容经过内置密钥解密后调用eval()函数执行。

执行的代码通过script标签引入下一阶段的后续代码（比如