黑客通过钓鱼攻击劫持npm软件包:含chalk、debug等十余个高频库
haoteby 2025-09-13 00:09 6 浏览
IT之家 9 月 9 日消息，网络安全机构 Aikido Security 披露了一起 npm 软件包库遭黑客攻击的案例。
据介绍，黑客通过钓鱼邮件入侵知名开发者 Josh Junon（用户名 qix）等人的账户，在至少 18 个高频下载包中注入恶意代码，这 18 个受影响的包周下载总量达 26 亿次。
qix 表示，他收到的钓鱼邮件来自 support@npmjs.help（npm 官网实际为 npmjs.com），声称用户需要更新 2FA 认证，否则账户将在 2025 年 9 月 10 日被锁定，从而诱导开发者点击钓鱼链接并提交凭据。
据称，恶意网站上的登录表单会将输入信息回传至攻击者控制的地址。npm 团队收到反馈后，已移除部分被篡改的软件包，包括周下载量达 3.576 亿次的 debug 包。
据 Aikido Security 技术分析，攻击者在接管维护权后修改了软件包的 index.js 文件，注入浏览器拦截器类代码，用于劫持网络流量与应用 API。
该恶意代码会监控并替换以太坊、比特币、Solana、Tron、莱特币和比特币现金等加密货币的收款地址，将交易重定向至攻击者钱包。
研究人员指出，这段代码通过挂钩 fetch、XMLHttpRequest 以及钱包 API（如 window.ethereum、Solana API 等）实现，能够在用户毫无察觉的情况下修改网页显示内容、篡改 API 调用，并改变应用认为正在签署的交易内容。
IT之家查询获悉，受影响的 npm 包括：chalk（2.99 亿次 / 周）、ansi-styles（3.71 亿次 / 周）、supports-color（2.87 亿次 / 周）、strip-ansi（2.61 亿次 / 周）、wrap-ansi（1.97 亿次 / 周）、debug（3.576 亿次 / 周）等。
安全专家 Andrew MacPherson 表示，并非所有用户都会受到波及，受影响需满足特定条件，例如在美国东部时间上午 9 点至 11 点半之间全新安装了受影响包，并生成了新的 package-lock.json 文件。
近月来，黑客频繁针对 JavaScript 库发起攻击，例如 7 月 eslint-config-prettier 包（周下载 3000 万次）也曾遭入侵，今年 3 月另有 10 个 npm 库被攻击。
相关推荐
- 如何随时清理浏览器缓存_清理浏览器缓存怎么弄
-
想随时清理浏览器缓存吗？Cookieformac版是Macos上一款浏览器缓存清理工具，所有的浏览器Cookie，本地存储数据，HTML5数据库，FlashCookie，Silverlight，...
- Luminati代理动态IP教程指南配置代理VMLogin中文版反指纹浏览器
-
介绍如何使用在VMLogin中文版设置Luminati代理。首先下载VMLogin中文版反指纹浏览器（https://cn.vmlogin.com）对于刚接触Luminati动态ip的朋友，是不是不懂...
- mac清除工具分享，解除您在安全方面的后顾之忧
-
想要永久的安全的处理掉重要数据，删除是之一，使用今天小编分享的mac清除工具，为您的操作再增一层“保护”，小伙伴慎用哟，一旦使用就不可以恢复咯，来吧一起看看吧~mac清除工具分享，解除您在安全方面的后...
- 取代cookie的网站追踪技术:”帆布指纹识别”
-
【前言】一般情况下，网站或者广告联盟都会非常想要一种技术方式可以在网络上精确定位到每一个个体，这样可以通过收集这些个体的数据，通过分析后更加精准的去推送广告（精准化营销）或其他有针对性的一些活动。Co...
- 辅助上网为啥会被抛弃 曲奇(Cookie)虽甜但有毒
-
近期有个小新闻，大概很多小伙伴都没有注意到，那就是谷歌Chrome浏览器要弃用Cookie了！说到Cookie功能，很多小伙伴大概觉得不怎么熟悉，有可能还不如前一段时间被弃用的Flash“出名”，但它...
- 浏览器指纹是什么?浏览器指纹包括哪些信息
-
本文关键词：浏览器指纹、指纹浏览器、浏览器指纹信息、指纹浏览器原理什么是浏览器指纹？浏览器指纹是指浏览器的各种信息，当我们访问其他网站时，即使是在匿名的模式下，这些信息也可以帮助网站识别我们的身份。...
- 那些通用清除软件不曾注意的秘密_清理不常用的应用软件
-
系统清理就像卫生检查前的大扫除，即使你使出吃奶的劲儿把一切可能的地方都打扫过，还会留下边边角角的遗漏。随着大家电脑安全意识的提高，越来越多的朋友开始关注自己的电脑安全，也知道安装360系列软件来"武装...
- 「网络安全宣传周」这些安全上网小知识你要知道!
-
小布说：互联网改变了人们的衣食住行，但与之伴生的网络安全威胁也不容忽视。近些年来，风靡全球的勒索病毒、时有发生的电信诈骗、防不胜防的个人信息泄露时时刻刻都威胁着我们的生活。9月18日-24日是第四届...
- TypeScript 终极初学者指南_typescript 进阶
-
在过去的几年里TypeScript变得越来越流行，现在许多工作都要求开发人员了解TypeScript...
- jQuery知识一览_jquery的认识和使用
-
一、概览jQuery官网：https://jquery.com/jQuery是一个高效、轻量并且功能丰富的js库。核心在于查询query。...
- 我的第一个Electron应用_electronmy
-
hello，好久不见，最近笔者花了几天时间入门Electron，然后做了一个非常简单的应用，本文就来给各位分享一下过程，Electron大佬请随意~笔者开源了一个Web思维导图，虽然借助showSav...
- HTML5 之拖放(Drag 和 Drop)_html拖放api
-
简介拖放是一种常见的特性，即抓取对象以后拖到另一个位置。在HTML5中，拖放是标准的一部分，任何元素都能够拖放。先点击一个小例子：在用户开始拖动<p>元素时执行JavaScrip...
- 如何用JavaScript判断输入值是数字还是字母?
-
在日常开发中，我们有时候需要判断用户输入的是数字还是字母。本文将介绍如何用JavaScript实现这一功能。检查输入值是否是数字或字母...
- 图形编辑器开发:快捷键的管理_图形编辑工具
-
大家好，我是前端西瓜哥。...
- 浏览器原生剪贴板:原来它能这样读取用户截图!
-
当我们使用GitHub时，会发现Ctrl+V就能直接读取用户剪贴板图片进行粘贴，那么它是如何工作的？安全性如何？...