冷門 npm 套件先試招，再騎劫 axios：惡意更新點樣直入開發機同 CI/CD

axios 每星期下載過億次，唔少 Node.js 專案都直接或者間接依賴佢。攻擊者只要控制一次正式發佈，就可以借正常更新渠道送惡意程式入大量開發機同自動建置環境。呢類攻擊最危險嘅地方，係團隊睇見熟悉套件名同可信維護者帳戶，防備自然低咗。

由冇乜人下載，試到每星期過億次

Amazon Threat Intelligence 最新調查將時間線拉返去 2025 年 3 月。團隊喺冷門套件 typo-crypto 發現一個偽裝成 core-js 嘅惡意檔案，只有收到指定格式嘅輸入先啟動，再按 Windows、macOS 或 Linux 下載唔同 payload。Amazon 見到嘅下載量有限，所以推斷呢次細規模行動可能係測試供應鏈攻擊手法。

半年後，攻擊者騎劫 debug、chalk 等熱門套件嘅發佈權限；去到 2026 年 3 月，再有人控制 axios 主要維護者嘅 npm 帳戶。路線相當清楚：先喺細套件調校觸發條件、混淆同跨平台下載，再借熱門依賴放大接觸面。對攻擊者嚟講，一個維護者帳戶已經係通往大量公司環境嘅共用入口。

axios 入侵已有實證，四宗事件關聯仍屬研判

要分清楚兩層資料。axios 維護者確認，惡意版本係 1.14.1 同 0.30.4，兩者加入咗 [email protected]，大約上架三個鐘後移除。Google Threat Intelligence 就按 WAVESHAPER.V2 後門同過往基建重疊，將 axios 攻擊歸入北韓關聯、以盜取資產為主嘅 UNC1069。

至於 typo-crypto、debug、chalk 同 axios 係咪同一批人策劃，Amazon 寫明評估信心只係中等。證據包括指揮控制基建線索、相似入侵套路、postinstall 用法同程式碼重用。iThome 報道亦係引述 Amazon 呢項判斷，現階段唔應該寫成執法調查已經確認嘅身份結論。

一次 npm install，後門已經喺主機郁手

axios 本身嘅主要程式碼冇直接塞入後門。惡意版本加入 plain-crypto-js 呢個依賴套件，再靠佢嘅 postinstall 自動執行混淆過嘅 setup.js。Google 分析指，dropper 會辨認作業系統，下載對應版本嘅 WAVESHAPER.V2，仲會嘗試刪走安裝痕跡。後門可以收集主機資料、列出檔案同目錄，同埋接收遠端指令。

中招重點係執行安裝嗰部機，唔一定係最後開網站嘅用家。 開發者電腦可能擺住 GitHub token、npm token 同雲端登入資料；CI runner 就可能持有 container registry、部署平台同 production secrets。惡意程式一旦喺呢度行過，即使最後編譯出嚟嘅前端檔案冇後門，攻擊者仍可能借偷到嘅權限推新版本、改設定或者進入雲端資源。

中過招，淨係降版本唔夠

先查 package-lock.json、yarn.lock、pnpm-lock.yaml 同現有 node_modules，搵 [email protected]、[email protected] 或任何 plain-crypto-js。axios 維護者當時列出 1.14.0 同 0.30.3 作緊急回退版本；而家處理就應該改用官方已核實嘅乾淨版本，再清走 dependency cache、重建 container image 同重新部署。

如果任何開發機或 runner 安裝過受影響版本，要當部機已經失守。移除套件只係第一步，相關 npm token、GitHub PAT、SSH key、雲端金鑰、registry 密碼同部署 secrets 都要輪換，仲要翻查對外連線、雲端 audit log 同異常發佈紀錄。短命憑證同最少權限做得好，今次要換同要追查嘅範圍都會細好多。

lockfile 要管，安裝 script 都要設閘

日常防守可以由三方面入手：用 lockfile 配合 npm ci 固定實際安裝版本；更新依賴前檢查新增套件、install script 同 provenance；CI 對唔使編譯原生模組嘅工作，可考慮用 npm ci --ignore-scripts。有啲正常套件的確靠安裝 script 建置，所以停用前要測清楚，再為真係要用嘅套件設明確例外。

今次新增嘅線索提醒咗軟件團隊，偶然爆出嘅熱門套件事故，背後可能已經試咗成年。依賴清單、runner 權限同 secrets 生命週期平時管得有幾實，出事嗰三個鐘就會差好遠。

參考來源

• iThome — 北韓駭客疑先從冷門NPM套件試水溫，再攻向axios等熱門函式庫 — original report
• Amazon identifies North Korean hacker group behind open-source supply chain attacks — 跨事件關聯、typo-crypto 測試場判斷、技術線索同中等信心評估
• Google：North Korea-Nexus Threat Actor Compromises Widely Used Axios NPM Package — 核實 axios 惡意版本、plain-crypto-js、postinstall、跨平台 payload 同 UNC1069 歸因
• axios：Post Mortem — npm supply chain compromise — 維護者確認帳戶入侵、上架時段、受影響版本同事故處理方向
• AWS：Well-architected best practices for software supply chain security — 短命憑證、最少權限、dependency 管理、provenance、掃描同 secrets 輪換建議

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。