【威胁情报】周下载过亿的库Axios被投毒,紧急应急!

周下载了过亿的HTTP请求库Axios被投毒，影响面巨大！

事件概述

2026年3月31日，知名HTTP客户端库Axios（npm每周下载量达1亿次）遭遇供应链攻击。攻击者在依赖项plain-crypto-js@4.2.1中植入远控木马（RAT），影响axios@1.14.1和axios@0.30.4版本。

攻击机制

恶意软件采用双层编码混淆技术规避检测：第一层为反转Base64（用下划线替代等号填充），第二层为XOR加密（密钥OrDeR_7077）。攻击流程为：npm install → postinstall钩子 → node setup.js → 操作系统检测 → 平台特定载荷投递 → 自删除。

平台特定payload

1.【macOS平台】下载二进制至/Library/Caches/com.apple.act.mond，伪装成Apple系统守护进程。

2.【Windows平台】将PowerShell复制为%PROGRAMDATA%\wt.exe（伪装成Windows Terminal），配合VBScript启动器。

3.【Linux平台】下载Python脚本至/tmp/ld.py，通过nohup python3执行。

恶意功能

macOS RAT具备：生成16字符唯一受害者ID、系统指纹采集（主机名、用户名、macOS版本、时区、CPU、进程），每60秒向C2服务器HTTP POST回传数据，支持命令包括：peinject（注入二进制）、runscript（执行shell/AppleScript）、rundir（目录枚举）、kill（终止进程）。

恶意地址

C2域名：sfrclak[.]com

C2 IP：142.11.206.73

C2 URL：http://sfrclak[.]com:8000/6202033

处置建议

1. 立即检查package.json和package-lock.json是否包含受影响版本

2. 确认feature分支和开放PR中是否存在恶意版本

3. 如发现感染，立即回滚至axios@1.14.0或axios@0.30.3

4. 检查系统是否存在对应IOC文件

（如/Library/Caches/com.apple.act.mond）

5. 禁止对应的C2恶意地址

加好友进群听直播