文章总结： 2026年3月31日披露axiosnpm供应链投毒事件，攻击者劫持维护者账号发布恶意版本[email protected]和0.30.4，通过隐藏依赖plain-crypto-js植入跨平台RAT木马。文档提供恶意版本自查命令、紧急处置步骤（升级安全版本、清理恶意依赖、轮换凭据）及长效防护建议（启用2FA、锁定依赖版本）。 综合评分： 92 文章分类： 供应链安全,漏洞预警,恶意软件,安全运营,解决方案
紧急预警｜axios npm 供应链投毒！这两个版本千万别用，已植入跨平台 RAT
耶度 耶度
野猪与安全
2026年4月1日 15:25 广东
发布时间：2026-04-01 | 安全等级：极高 | 影响范围：全 Node.js 开发环境
各位前端、后端、DevOps 同学注意：全球最常用 HTTP 客户端库 axios，刚刚曝出严重 npm 供应链投毒事件。攻击者劫持核心维护者 npm 账号，发布两个恶意版本，安装即静默植入跨平台远控木马（RAT），窃取源码、密钥、环境变量等高敏感资产。
一、事件核心速览（必看）
| | |
| — | — |
| 披露时间 | * 2026-03-31（StepSecurity 官方预警） |
| 攻击方式 | * 劫持 axios 核心维护者 jasonsaayman npm 账号，发布恶意版本，注入隐藏恶意依赖 |
| 涉毒版本 | * [email protected]（1.x 最新分支） * [email protected]（0.x 旧版分支） |
| 恶意载荷 | * 隐藏依赖 [email protected]，通过 postinstall 脚本自动执行，macOS/Windows/Linux 全平台植入 RAT，并连接 C2 服务器接收指令 |
| 关键 IOC | * 恶意依赖：[email protected] * C2 域名：sfrclak.com * C2 IP：142.11.206.73 |
| 安全版本 | * 1.x 分支：[email protected] * 0.x 分支：[email protected] |
二、谁最危险？影响范围全覆盖
只要你的环境满足以下任一条件，必须立即自查：
- 近期执行过 npm install / npm update，且安装 [email protected] 或 [email protected]
- 涉及：个人开发机、测试机、CI/CD 构建机、生产发布机、容器镜像、内网开发环境
- 风险后果：
- 主机被完全远程控制，攻击者可执行任意命令、上传下载文件
- 源码、构建产物、.env 密钥、SSH / 云服务凭证、npm/GitHub Token 全量泄露
- 恶意脚本执行后会自毁清理痕迹，常规审计难以发现
三、三步极速自查（先快后细，复制即用）
1️⃣ 查 axios 版本（最核心）
终端执行，有输出即命中恶意版本：
# 全局+项目依赖排查npm list axios 2>/dev/null | grep -E "1\.14\.1|0\.30\.4"# 检查锁文件（package-lock.json/yarn.lock）grep -A1 '"axios"' package-lock.json | grep -E "1\.14\.1|0\.30\.4"
2️⃣ 查恶意依赖目录（已执行安装脚本的标志）
ls node_modules/plain-crypto-js 2>/dev/null && echo "⚠️ 存在恶意依赖，已受影响"
3️⃣ 查流量 / 后门痕迹（进阶排查）
- 流量：检查代理 / EDR / 防火墙日志，是否有访问
sfrclak.com或142.11.206.73的记录 - 系统后门（各平台）：
# macOSls -la /Library/Caches/com.apple.act.mond 2>/dev/null && echo "⚠️ macOS已植入RAT"# Linuxls -la /tmp/ld.py 2>/dev/null && echo "⚠️ Linux已植入RAT"# Windows（CMD）dir "%PROGRAMDATA%\wt.exe" 2>nul && echo "⚠️ Windows已植入RAT"
四、紧急处置：先止血、再清理、最后加固
✅ 第一步：立即止血（所有环境必做）
- 禁止使用 / 安装 1.14.1 / 0.30.4，强制升级 / 回滚到安全版本：
# 1.x用户npm install [email protected] --save# 0.x用户npm install [email protected] --save
- 锁定版本，防止间接依赖拉取恶意版（package.json 添加）
"overrides": { "axios": "1.14.0"},"resolutions": { "axios": "1.14.0"}
- 移除恶意依赖：
rm -rf node_modules/plain-crypto-jsnpm prune
✅ 第二步：隔离取证 + 深度清理（疑似中招必做）
- 立即隔离受影响主机 / 容器，不要在中毒机器上做任何密钥操作
- 保留证据：npm 安装日志、构建日志、EDR 告警、流量日志，用于溯源
- 高风险场景（构建机、签名机、密钥存储机）：直接重装系统 / 回滚可信镜像，不要尝试手动清理后门
- 全量轮换所有凭据（重中之重）：
- npm/GitHub Token、SSH 密钥、云厂商 AK/SK
- CI/CD 流水线密钥、数据库密码、API 密钥、
.env所有敏感变量 - 内网账号、VPN、堡垒机凭证
✅ 第三步：临时封禁 IOC（网关 / 主机层）
- 本地 hosts 屏蔽 C2 域名：
echo "0.0.0.0 sfrclak.com" >> /etc/hosts
- Linux iptables 封禁 C2 IP：
iptables -A OUTPUT -d 142.11.206.73 -j DROP
- 3. 企业侧：在防火墙、WAF、EDR、DNS 服务器添加上述 IOC 拦截规则
五、长效防护建议（避免下次中招）
- CI/CD 构建强制加 –jgnore-scripts，阻止 npm postinstall 恶意脚本执行：
npm ci --ignore-scripts
- 2. 固定依赖版本，使用 package-lock.json/yarn.lock，禁止自动升级
- 3. 启用 npm 账号 2FA，定期轮换维护者权限，最小化发布账号权限
- 4. 定期扫描依赖安全，使用 npm audit、Snyk 等工具，关注开源库安全公告
六、重要提醒
- 恶意版本已被 npm 官方下架，但已安装的机器不会自动清理，必须手动排查处置
- 本次攻击针对全平台、全开发场景，不要心存侥幸，所有 Node.js 环境都要过一遍
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：野猪与安全 耶度 耶度《紧急预警｜axios npm 供应链投毒！这两个版本千万别用，已植入跨平台 RAT》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论