每周下载3亿次的Axios遭供应链投毒攻击附排查与修复指南事件概述2026 年 3 月 31 日著名云安全平台 StepSecurity 监测到在 JavaScript 生态系统中最受欢迎的 HTTP 客户端库Axios每周下载量超 3 亿次遭遇了严重的供应链攻击。攻击者劫持了 Axios 核心维护者jasonsaayman的 npm 账户并在 npm 官方仓库发布了两个被污染的恶意版本axios1.14.1和axios0.30.4。这些恶意版本并未修改 Axios 自身的源代码而是神不知鬼不觉地注入了一个名为plain-crypto-js4.2.1的隐藏依赖项。该依赖项唯一的用途就是作为一台跨平台的“木马投递器”在开发者执行npm install期间自动触发静默释放出针对 Windows、macOS 和 Linux 系统的远程访问木马 (RAT) 窃取环境凭据并控制机器。攻击时间线与战术揭秘此次攻击计划极为缜密周密提前潜伏攻击者在发布毒化版 axios 前 18 个小时通过临时账户发布了伪装成合法加密库的plain-crypto-js4.2.1恶意依赖以此绕过“最新发布包”的安全扫描告警。账号劫持与绕过 CI/CD攻击者将受害者 npm 账户的注册邮箱篡改为其控制的 ProtonMail 邮箱。值得注意的是合法的 axios 版本是通过 GitHub Actions 的 OIDC 机制自动化发布的而这批恶意包则是攻击者使用长期存在的 npm Access Token人工发布的完全脱离了正常的源代码提交流程没有 Commit 或 Tag。精准投毒为了最大化打击面攻击者在 39 分钟内连续给 axios 最主流的 1.x 架构分支和老旧项目的 0.x 架构分支均发布了投毒更新。迅速止损这两个恶意版本分别存活了约 2 小时 53 分钟和 2 小时 15 分钟后便被 npm 官方撤回并替换为安全阻断存根Security-holder stub。2026-03-30 05:57plain-crypto-js4.2.0由nrwiseproton.me发布——这是一个干净的诱饵包包含合法crypto-js源代码的完整副本不包含任何postinstallhook。它的唯一目的是建立 npm 发布历史记录以避免该包在后续检查中显示为零历史记录账户。2026-03-30 23:59plain-crypto-js4.2.1由nrwiseproton.me发布——新增恶意载荷。引入了postinstall: node setup.js钩子和混淆的投放器。2026-03-31 00:21axios1.14.1由被入侵的jasonsaayman帐户电子邮件ifstapproton.me发布 — 将plain-crypto-js4.2.1作为运行时依赖项注入目标用户为最新的 1.x 用户群。2026-03-31 01:00axios0.30.4由同一个被入侵的帐户发布——向旧版 0.x 分支注入了相同的漏洞39 分钟后发布以最大限度地覆盖两个版本线。2026-03-31 ~03:15npm 取消发布axios1.14.1和axios0.30.4。这两个版本均已从注册表中移除latestdist-tag 已恢复为1.14.0已运行约 2 小时 53 分钟axios1.14.1已运行约 2 小时 15 分钟。时间戳是从 axios 注册表文档的modified时间字段03:15:30Z推断出来的——npm 的公共 API 中没有提供专门针对每个版本axios0.30.4取消发布时间戳。2026-03-31 03:25npm 对plain-crypto-js发起安全保留开始将恶意软件包替换为 npm 安全保留存根的过程。2026-03-31 04:26npm 已在npmnpmjs.com账户下发布了安全持有者存根plain-crypto-js0.0.1-security.0正式替换了注册表中的恶意软件包。plainplain-crypto-js4.2.1已上线约 4 小时 27 分钟。现在尝试安装任何版本的plain-crypto-js都会返回安全警告。恶意机制如何运作 (动态执行与跨平台感染)当不知情的开发者安装受污染的axios1.14.1时npm 会连带安装毫无关联的假依赖plain-crypto-js。通过这层“影子依赖”恶意软件触发了其核心攻击逻辑1. 利用生命周期钩子Postinstall Hook假依赖的package.json中配置了postinstall: node setup.js钩子这导致 npm 刚刚解析完树结构恶意脚本就瞬间开始执行甚至在整个npm install完整结束前就开始连接 C2命令与控制服务器。2. 免杀与深度混淆setup.js采用了两层定制化的加密解密机制异或混淆配合 Base64 等用以躲匿敏感的 C2 域名http://sfrclak.com:8000/和终端执行命令成功避开了常规的静态代码扫描。3. 三端定制的木马释放逻辑RAT Payloads该脚本会识别目标宿主机的操作系统类型macOS、Windows、Linux并执行相对应的二阶段木马攻击macOS 平台将 AppleScript 无痕跑在后台拉取 macOS 的专版木马将其隐藏伪造为系统级缓存进程守护目录/Library/Caches/com.apple.act.mond。Windows 平台将 PowerShell 副本伪装成 Windows Terminal 进程 (%PROGRAMDATA%\wt.exe)随后通过无 UI 窗口的 VBScript 下载ps1载荷并在内存中绕过执行策略运行。Linux 平台直接使用系统 Curl 拉取恶意 Python 脚本/tmp/ld.py并使用nohup放入纯后台执行。4. 反取证清理Self-Cleanup为了躲避事后审计当一阶段载荷发射完毕并且 C2 服务器建立连接后setup.js脚本会“自杀”删除自己甚至它还会将原本包含提权配置文件的package.json替换成一个提前准备好的“无害假文件”。这意味着如果事后有人去node_modules下去翻看源代码找异常只会看到一个干干净净、仿佛从来没作恶过的模块。IOCaxios1.14.1 · shasum: 2553649f232204966871cea80a5d0d6adc700caaxios0.30.4 · shasum: d6f3f62fd3b9f5432f5782b62d8cfd5247d5ee71plain-crypto-js4.2.1 · shasum: 07d889e2dadce6f3910dcbc253317d28ca61c766C2 域名 · sfrclak[.]comC2 IP · 142[.]11[.]206[.]73C2 URL · http[:]//sfrclak[.]com[:]8000/6202033C2 POST body (macOS) · packages[.]npm[.]org/product0C2 POST body (Windows) · packages[.]npm.org/product1C2 POST body (Linux) · packages[.]npm[.]org/product2macOS · /Library/Caches/com.apple.act.mondWindows (persistent) · %PROGRAMDATA%\wt.exeWindows (temp, self-deletes) · %TEMP%\6202033.vbsWindows (temp, self-deletes) · %TEMP%\6202033.ps1Linux · /tmp/ld.pyjasonsaayman · 被盗用合法的 axios 维护者邮箱邮箱地址已更改为 [ifstapproton[.]me]nrwise · 攻击者创建的帐户 nrwiseproton[.]me 发布了 plain-crypto-js安全版本axios1.14.0 (安全) · shasum: 7c29f4cf2ea91ef05018d5aa5399bf23ed3120eb帮助网安学习全套资料S信领取① 网安学习成长路径思维导图② 60网安经典常用工具包③ 100SRC分析报告④ 150网安攻防实战技术电子书⑤ 最权威CISSP 认证考试指南题库⑥ 超1800页CTF实战技巧手册⑦ 最新网安大厂面试题合集含答案⑧ APP客户端安全检测指南安卓IOS排查与紧急补救指南 (Remediation)如果在此时间段内流水线自动构建过或通过 npm 下载过相关版本组件系统应直接视为“已被深度妥协 (Compromised)”。** 如何判断受影响 **运行检查命令//检查项目中是否存在恶意 axios 版本 npm list axios 2/dev/null | grep -E 1\.14\.1|0\.30\.4 grep -A1 axios package-lock.json | grep -E 1\.14\.1|0\.30\.4检查项目底层是否含有node_modules/plain-crypto-js目录有该目录即表明中过招不用管 package.json 有多干净如果setup.js已经运行则此目录下的package.json文件将被替换为一个干净的占位符文件。该目录的存在足以证明 dropper 已执行。。ls node_modules/plain-crypto-js 2/dev/null echo POTENTIALLY AFFECTED检查机器后门# macOS ls -la /Library/Caches/com.apple.act.mond 2/dev/null echo COMPROMISED # Linux ls -la /tmp/ld.py 2/dev/null echo COMPROMISED COMPROMISED # Windows (cmd.exe) dir %PROGRAMDATA%\wt.exe 2nul echo COMPROMISED检查 CI/CD 流水线日志 查找任何可能拉取了 axios1.14.1 或 axios0.30.4 的 npm install 执行。任何安装了这两个版本的流水线都应视为已遭入侵所有注入的密钥都应立即轮换。️ 补救措施强制降级并锁版本回滚至安全的axios1.14.0或0.30.3并在工程的 overrides/resolutions 字段强制锁定不被自动升级。npm install axios0.30.3 # for 0.x users //添加一个 overrides 块以防止传递解析回恶意版本 { dependencies: { axios: 1.14.0 }, overrides: { axios: 1.14.0 }, resolutions: { axios: 1.14.0 } }从node_modules中移除plain-crypto-jsrm -rf node_modules/plain-crypto-js npm install --ignore-scripts彻底重构废弃一旦检测到木马踪迹环境系统直接推翻重构不要尝试就地清理系统状态可能已不纯洁。全面凭证轮换最关键此次木马会窃取本地变量请立刻轮换/重置当时机器上存储的所有高权限密钥包括 AWS 密钥、云平台账号、SSH 私钥、CI/CD Secret 以及任意.env环境变量。防御最佳实践建立习惯要求在 CI/CD 服务器运行打包安装时强制带上防止脚本潜逃的安全参数npm ci --ignore-scripts并配置严谨的防火墙黑白名单出站策略Egress。作为预防措施在任何可能暴露的系统上阻止网络/DNS 层的 C2 流量# Block via firewall (Linux) iptables -A OUTPUT -d 142.11.206.73-j DROP # Block via /etc/hosts (macOS/Linux) echo 0.0.0.0 sfrclak.com /etc/hosts参考链接https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan