【DevSecOps】2025年09月针对整个JavaScript生态系统的自我复制恶意软件攻击

2025-09-20T00:00:00Z | 10分钟阅读 | 更新于 2025-09-20T00:00:00Z

Macro Zhao

推荐超级课程：

我知道你在想什么。“一篇安全文章告诉我天塌下来了。”好吧，那就抓起你最爱的咖啡饮料，系好安全带快跑吧，天真的塌下来了。而且它恰好落在了 JavaScript 生态系统上（抱歉，我的幽默感有点崩）。

“受信任”的软件包如何变成蠕虫

就在两周前，一个看似普通的星期一早晨（2025年9月8日），JavaScript世界遭遇了安全研究人员所称的npm历史上最具破坏性的供应链攻击之一。此次攻击影响了18个广泛使用的软件包，每周下载量总计超过26亿次。

Josh Junon，在 npm 社区中以“qix”为人熟知，成为了他所说的“乍一看似乎合法”邮件的受害者。这封邮件来自“support@npmjs.help”——这个域名在攻击发生前三天才注册。在经历了一个“惊慌失措的早晨”和“紧张的一周”之后，他点击了钓鱼链接，并输入了自己的凭证。然后，就是他的道歉了：

“抱歉各位，我应该多注意一点的。这不像我，这周压力太大了。”

就这样，只需轻轻一点，攻击者就获得了现代网络的一些最基本的构建模块的访问权限。

Junon 是多个 NPM 软件包的开发者。值得一提的是，其中有多个非常重要的 NPM 软件包。而且，他的软件包也被多个非常重要的 NPM 软件包所使用，例如lint、carbon等等。

多米诺骨牌效应

这些被入侵的软件包看起来就像 JavaScript 实用程序的名人录：chalk、debug、ansi-styles、strip-ansi 以及其他 15 个。它们并非带有华丽营销页面的浮华库。它们是维系 JavaScript 生态系统的隐形基础设施。

最最恐怖的是，目前已公布超500+受害包，而且还在持续增加！！！！！！

该恶意软件精准度极高。它不会让应用程序崩溃，也不会显示勒索信息。相反，它悄悄潜伏在浏览器环境中，拦截加密货币交易。它使用编辑距离算法，将钱包地址替换为攻击者控制的、外观相似的地址。

该恶意软件的复杂程度令人惊讶：其目标包括以太坊、比特币、Solana、波场币、莱特币和比特币现金，维护了超过 280 个硬编码的攻击者地址以实现冗余，并使用十六进制编码来规避检测。根据 Socket 的分析，攻击者从此次攻击活动中获利约 600 美元——虽然不是什么大数目，但却证明了其可能造成更大损失。

吞噬 JavaScript 生态系统的蠕虫

但 9 月 8 日的攻击仅仅是个开始。9 月 15 日，一个新的威胁出现了：“Shai-Hulud”攻击，它展现出了 npm 生态系统中前所未有的攻击方式。这是一种自我复制、类似蠕虫的行为。

当我发现这一点时，我非常兴奋。不过，我们先来深入了解一下吧。

当该恶意软件在受感染的环境中发现 npm 令牌时，它不仅仅是窃取它们。它会自动利用这些令牌发布任何可访问软件包的恶意版本。ReversingLabs将其描述为“首款能够自我复制的蠕虫”，目前已感染超过 180 个软件包，并且感染数量还在不断增加。

该蠕虫会在被感染的账户下创建名为“Shai-Hulud”的公共 GitHub 仓库，本质上是将受害者自己的账户变成了窃取凭证的数据存储地。在此次持续的攻击活动中， CrowdStrike 的一些 npm 软件包甚至遭到入侵。

社区确实迅速做出了反应——Aikido Security 在 5 分钟内检测到了攻击，npm 在数小时内开始删除恶意版本，而Vercel 等平台则主动清除了构建缓存。

Tanium 的 Melissa Bischoping 试图平息恐慌：“你受此影响的可能性几乎为零……它们在那段时间内被下载并传送到你的软件中的可能性非常非常小。。。。。”

但当你考虑到下一次攻击可能不会在 5 分钟内被发现、可能不仅限于加密货币盗窃、并且可能不会在安全研究人员警惕时部署时，这种推理就显得过于乐观了。

让我们来谈谈这一事件迫使我们面对的一些令人不安的现实

供应链攻击正在迅速演变。

短短几个月内，我们就见证了从简单的恶意软件包到复杂的网络钓鱼活动，再到自我复制的蠕虫的演变。根据 ReversingLabs 的 2025 年报告，2024 年 23 起与加密相关的恶意活动中，有 14 起针对的是 npm。

爆炸半径呈指数级增长。

研究人员声称“每周下载量达 26 亿次”，但实际上每次下载都可能成为部署到生产环境的构建构件的一部分，缓存在 CI/CD 系统中，并捆绑到服务于真实用户的应用程序中。

这意味着，在这段时间内，您处于易受攻击的状态，无法检查是否受到攻击。此外，您自己的团队/组织也可能会发现易受攻击的软件包，并且必须立即检查您生态系统中的所有 Node.js 产品。

当然，您可以npm list手动逐一运行并检查所有依赖项，但这是一项漫长的任务。

目前建议的操作

检查依赖包和锁定文件，并审核可疑更改和存储库创建。
完全更换 CI/CD 和管理凭证。
修复对受信任版本的依赖关系并考虑使用私有 npm 注册表。
实施安全措施，包括强制性拉取请求审查和强制提交和依赖项扫描。
文章还公布了受影响软件包的列表，敦促开发人员立即检查并删除更新。
NPM 漏洞检查器为您提供构建主动防御的工具。
- https://github.com/SamratDuttaOfficial/npm-packages-checker
- https://github.com/AikidoSec/safe-chain

最后，祝你们好运！

PS：截至2025-09-19的受侵入包一览（建议快速搜一下有没有直接用到的包！！！）

以下 npm 软件包和版本已确认受到影响：

包裹总数：526

攻击面正在不断扩大，我们将继续更新此列表。请经常查看。

渗漏端点： hxxps://webhook[.]site/bb8ca5f6-4175-45d2-b042-fc9ebb8170b7

Bundle.js SHA-256

de0e25a3e6c1e1e5998b306b7141b3dc4c0088da9d7bb47c1c00c91e6e4f85d6
81d2a004a1bca6ef87a1caf7d0e0b355ad1764238e40ff6d1b1cb77ad4f595c3
83a650ce44b2a9854802a7fb4c202877815274c129af49e6c2d1d5d5d55c501e
4b2399646573bb737c4969563303d8ee2e9ddbd1b271f1ca9e35ea78062538db
dc67467a39b70d1cd4c1f7f7a459b35058163592f4a9e8fb4dffcbba98ef210c
46faab8ab153fae6e80e7cca38eab363075bb524edd79e42269217a083628f09
b74caeaa75e077c99f7d44f46daaf9796a3be43ecf24f2a1fd381844669da777

上一页【DevSecOps】JavaScript生态系统的自我复制恶意软件Shai-Hulud攻击演示

下一页无需 Mac 使用 GitHub Actions 构建 iOS 应用