小众软件
·
npm 历史上首个蠕虫式供应链攻击：会自我传播
内容提要
TanStack Router 的 npm 包遭到恶意代码攻击，攻击者通过提交 PR 污染 CI 缓存，导致恶意代码被打包发布，窃取开发者密钥并感染其他项目。建议开发者暂缓升级项目，等待安全确认。
关键要点
-
TanStack Router 官方 npm 包被植入恶意代码，攻击者通过提交 PR 污染 CI 缓存。
-
恶意代码窃取开发者电脑里的密钥，并感染其他 GitHub 仓库。
-
攻击者提交的恶意代码绕过了 npm 生态的信任链，导致恶意代码被打包发布。
-
这是 npm 历史上首次出现真正的自我传播蠕虫式供应链攻击。
-
攻击链包括提交恶意 PR、执行攻击者代码、污染 CI 缓存，最终发布恶意 npm 包。
-
恶意包通过官方流程发布，攻击者未入侵 npm 账号，仅利用自动化流程中的漏洞。
-
恶意代码在本地运行后会扫描电脑，窃取 npm 令牌和 GitHub 密钥，并修改其他项目的 CI 配置。
-
建议开发者暂缓升级项目，等待安全确认。
延伸解读
供应链攻击的严重性
此次攻击展示了供应链安全的脆弱性，攻击者通过利用自动化流程中的漏洞，成功将恶意代码混入官方发布版本。这提醒开发者在使用第三方库时，需更加谨慎，尤其是在依赖自动化构建和发布流程的情况下。
自我传播的风险
这次攻击的蠕虫特性意味着一旦恶意代码在本地运行，就会自动扫描并感染其他项目。这种自我传播的能力使得攻击的影响范围大大增加，开发者需要特别关注项目的CI配置，确保没有被恶意代码篡改。
信任链的挑战
攻击成功绕过了npm生态的信任链，表明即使是官方发布的包也可能存在安全隐患。开发者应重新审视对官方渠道的信任，考虑在使用第三方库时进行额外的安全审查和验证。
延伸问答
TanStack Router 的 npm 包是如何被攻击的？
攻击者通过提交恶意 PR 污染 CI 缓存，导致恶意代码被打包发布。
这次攻击的主要影响是什么？
恶意代码窃取开发者的密钥，并感染其他 GitHub 仓库，造成广泛传播。
为什么这次攻击被称为蠕虫式供应链攻击？
因为恶意代码在本地运行后会自动扫描并感染其他项目，无需人工干预。
开发者应该如何应对这次攻击？
建议开发者暂缓升级项目，等待安全确认。
这次攻击是如何绕过 npm 的信任链的？
攻击者利用了自动化流程中的漏洞，尽管所有发布流程看似正常。
TanStack Router 是什么？
TanStack Router 是一个流行的 JavaScript 路由库，每周下载量超过数百万次。
