近 800 个恶意 npm 包投递跨平台 RAT 与信息窃取程序
一组近 800 个恶意包被发布到 npm 注册表，作为一项新攻击活动的一部分，旨在投递针对 Windows、Mac 和 Linux 系统的跨平台恶意软件。开源恶意软件研究员 Paul McCarty 表示，这些包使用 AI 拼凑或随机生成的误植域名，但均投递一个强大的 RAT 与信息窃取载荷。
标签： npm
Read More
ChainDrop 供应链攻击：自传播蠕虫的剖析
一个隐藏在超过 400 个被入侵 npm 包中的凭据窃取蠕虫，通过重新发布恶意更新在软件生态系统中自动传播。本分析详细介绍了攻击链、受影响的环境以及针对检测、追踪和修复的实用指导。
与 Keyv 相关的 npm 蠕虫毒化数百个软件包，植入 Claude Code 与 VS Code 钩子
一个窃取凭证的 npm 蠕虫最初出现于 keyv@6.0.0，于 2026 年 8 月 4 日扩散至多个组织，跨越 Keyv 与 Cacheable 命名空间，污染数百个软件包。SafeDep 已在 npm 注册表中核实 353 个污染版本，涵盖 79 个软件包名称。
深度剖析 AsyncAPI npm 供应链攻击及导入时载荷投递
威胁行为者攻陷 AsyncAPI npm 包，并滥用受信 CI/CD 工作流通过 npm 分发恶意软件。该分析拆解了攻击链、载荷投递过程及推荐防御措施。
微软亮相 Black Hat USA 2026：在 AI 与供应链攻击时代捍卫信任
欢迎莅临 Black Hat USA 2026 微软安全展区，了解供应链研究、动手实操安全体验、专家对话以及我们的招待会。
npm 12 默认禁用安装脚本以降低供应链风险
GitHub 正式发布 npm 12 版本，默认禁用安装脚本，并弃用旨在绕过双因素认证（2FA）的细粒度访问令牌（GATs）。此举旨在减少供应链攻击面，并引导开发者迁移至可信发布（OIDC）或带人工审批的分阶段发布模式。