#npm
11 篇文章
TechLab 所有關於「npm」嘅文章、評測同教學，由最新排起。
Tech Newsnpm、RubyGems 56 個仿冒套件偷 Windows 資料：裝過點查、未中招點防
攻擊者用 40 個 npm 套件同 16 個 RubyGems 套件扮成熱門 dependency，安裝時即喺 Windows 啟動竊密程式。以下整理完整名單、lockfile 同 Windows 檢查方法，亦講清楚懷疑中招後點處理登入憑證、Telegram session 同加密貨幣錢包。
Tech NewsChainDrop 蠕蟲踩入 npm 供應鏈：刪走 keyv 未代表清得乾淨
ChainDrop 借受污染 npm 套件嘅 preinstall script 自動執行，再由開發者電腦同 CI runner 搜掠 GitHub、npm、AWS 等 credentials。團隊要查實際安裝版本、時間同紀錄；一旦執行過惡意版本，淨係刪套件並唔夠。
Tech NewsChainDrop 攻陷逾 400 個 npm 套件：中招後先隔離，唔好即刻換 token
ChainDrop 借 npm preinstall 自動執行，識得按開發電腦同 CI/CD 環境轉招數，再偷 GitHub、npm 同雲端憑證繼續散播。團隊要即刻核對 lockfile、cache、版本同 IOC；一旦懷疑載荷跑過，應先隔離及重建系統，再喺乾淨裝置撤銷相關 token。
Tech Newskeyv 引爆 npm 蠕蟲攻擊：444 個套件中招，開發團隊而家要查乜
keyv 供應鏈事故唔止影響直接裝過套件嘅項目，藏喺 ESLint 等依賴樹入面一樣有風險。蠕蟲亦會偷 npm、GitHub 同雲端憑證，再污染其他套件；團隊要由 lockfile、CI 紀錄同開發電腦一齊追查，換 token 前仲要先拆走惡意監察程式。
Tech NewsAsyncAPI 四套件遭落毒：合法 npm provenance 點解照樣失守
AsyncAPI 嘅 GitHub Actions 錯誤處理外來 pull request，令攻擊者偷到高權限 token，再借官方發布流程推出五個惡意 npm 版本。套件有合法 provenance 都擋唔住，因為簽署只證明由邊條 pipeline 產生，冇保證入面啲程式碼安全。
Tech Newsnpm 收緊免 2FA token：自動發布要點揀 OIDC 定人手批准
npm 已限制可略過 2FA 嘅 granular access token 管理帳戶、套件同團隊；直接發布暫時仲用得，但官方目標係 2027 年 1 月再收緊。用 token 自動出 package 嘅團隊，而家要揀 OIDC 全自動發布，或者加一道 2FA 人手批准。
Tech News假面試 coding test 借 SVG 藏毒：撳 npm run dev 前要查咩
Elastic 揭露一批假面試 coding test，惡意程式拆散藏喺 SVG 國旗檔案，再由 Next.js 專案重組執行。開發者收到陌生 repository，第一步應該先查 package scripts、啟動檔同可疑 Base64，測試時亦要隔開工作憑證。
Tech News冷門 npm 套件先試招，再騎劫 axios：惡意更新點樣直入開發機同 CI/CD
axios 惡意版本只上架約三個鐘，風險卻唔止於一個套件。攻擊者借 npm 安裝流程喺開發機同 CI runner 執行後門，連部署 token、雲端金鑰同 production 權限都可能一併拎走。Amazon 最新調查再將事件追溯到一年前嘅冷門套件試招。
Tech NewsLazarus 扮 Rollup package 混入 npm，香港開發機同 CI 要即刻自查
JFrog 6 月 30 日揭露一批扮 Rollup polyfill 嘅 npm package，iThome 7 月 7 日報道呢波 Lazarus 供應鏈攻擊。麻煩位係 build 工具一入開發機或 CI，就可能摸到 token、browser session 同 crypto wallet。
Tech NewsPolinRider 伸入 npm、Composer 同 Go：裝包前真係要望清楚
iThome 報道，Socket 發現 PolinRider 已經由 npm 擴到 Packagist、Go module 同 Chrome Web Store。重點唔止係某個套件有毒，而係求職 coding task、package install、VS Code task 全部都可以變成入口；本地開發團隊要查 lockfile、repo history 同 secrets。
Tech News一個 VS Code extension 點樣打入 GitHub：開源供應鏈風險已變日常
GitHub 確認一名員工裝到被污染 VS Code extension，令約 3,800 個 GitHub 內部 repo 被外洩。重點唔係「GitHub 都會中招」咁簡單，而係 developer 工具、npm package、CI token 同 AI coding agent 已經變成同一條攻擊鏈。