Axios证实遭入侵源自“社会工程学”欺骗

恶意包植入远程访问木马2026年3月31日两个恶意版本的流行JavaScript HTTP库Axios被短暂发布到npm仓库。这两个版本均包含隐藏依赖项可在macOS、Windows和Linux系统上安装远程访问木马RAT。此次攻击并未利用Axios代码本身的漏洞而是瞄准了更难防御的目标——维护该库的开发人员所持有的信任权限。这一事件暴露出开源供应链中人为环节的极度脆弱性。攻击者针对Axios首席维护者Jason Saayman实施了精心策划的社会工程攻击。他们伪装成某知名企业的代表以商务合作为由建立联系。为增强可信度攻击者克隆了该公司身份信息搭建了逼真的Slack工作区并安排了多次伪装会议。在取得Saayman信任后攻击者诱骗其安装可获取设备完全控制权的程序。供应链攻击波及数千项目攻击者随后窃取活跃浏览器会话和cookie悄无声息地劫持了Saayman的npm和GitHub凭证。Socket.dev研究人员在恶意包发布后迅速识别并分析了攻击全貌。由于npm的传递依赖机制除直接使用Axios的用户外数千个隐式引用Axios的下游软件包同样受到影响实际攻击范围远超表面所见成为近年来最具隐蔽性的大规模供应链攻击事件。值得注意的是即便采用双重认证和基于OIDC的发布机制等强安全控制措施也无法阻止此类攻击。攻击者直接通过Saayman被入侵的设备使用其有效会话进行操作——从npm的视角看所有行为均显示为合法操作。Saayman事后证实攻击者的访问权限完全不受现有防护措施影响因为现有发布流程无法检测维护者从自有设备发起的恶意行为。关键基础设施的维护困境Axios作为JavaScript生态中下载量最大的包之一被广泛应用于生产环境应用、构建系统、CLI工具和基础架构层。多数团队并非主动选用它而是通过深层依赖链间接引入。然而这个全球关键项目仅由少数个人维护缺乏机构级安全资源或专职支持团队。这种困境在此次事件中暴露无遗。事件发生后Saayman立即采取行动清除所有设备数据、重置全部凭证并开始采用硬件安全密钥及改进的发布流程。他在GitHub公开评论中承认自己沦为知名社会工程攻击的受害者坦承攻击者已完全控制其工作环境。其应对措施既体现了事件的严重性也展现出重建安全体系的决心。长期威胁与防御建议此次攻击模式与著名的xz utils后门事件如出一辙——攻击者投入大量时间建立可信度后再实施攻击。这种长期布局的策略使纯技术防御手段失效因为突破口是人而非软件。当控制维护者等同于控制其下的整个依赖树时攻击者会不惜代价获取这种权限。使用Axios的组织应立即审计依赖树检查是否包含受感染的1.8.2和1.8.3版本并及时更新。开发者应采用依赖扫描工具监控异常版本变更。开源维护者特别是管理流行软件包的人员应当部署硬件安全密钥、限制会话暴露时间并将自有设备视为高价值基础设施进行防护。