安全公司揭露：黑客盗用开发团队NPM账号散布恶意软件包
6月10日消息，近年来黑客入侵开发团队账号、冒用其身份散布恶意软件包的事件频频发生，参考安全公司Aikido Security通报，有黑客在6月6日盗用了React Native、GlueStack项目维护人员的身份凭据（Token），在NPM平台上上传了16个带有恶意代码的软件包，相应软件包下载量据称“每周超过一百万次”，影响范围较为广泛。
免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈
根据安全公司分析，其中最早被篡改的NPM软件包为@react-native-aria/focus。黑客在其lib/commonjs/index.js文件第46行植入了恶意代码。为了逃避安全检测，黑客采用了大量空白字符进行混淆处理，使得这些恶意内容在代码显示上几乎不可见。研究人员进一步确认，该恶意代码是曾被用于另一软件包rand-user-agent的远程访问木马（RAT）。
值得一提的是，本次木马程序与以往收集到的实例相比，在功能上出现了明显差异。最大的变化是其“进化”引入了备用的C2（命令与控制）服务器机制，可根据代码版本切换通信地址；此外，新版本木马还具备收集被感染设备系统信息的能力，能够向指定IP地址发送数据请求并回传敏感信息。
相关攻略
梦瑶 发自 凹非寺量子位 | 公众号 QbitAI机器人Demo大家都见过，但具身智能真机同台PK、当场对线，谁看了不得瞪大眼？（震惊 jpg）这场超燃的具身模型真机对决比赛，就发生在这两天在深圳举
记者3月31日获悉，360数字安全集团依托自主研发的360多智能体协同漏洞挖掘系统，在GitHub斩获34万星的OpenClaw平台中成功发现一处高危漏洞——MEDIA协议Prompt注入绕过工具权
这是继 2025 年的 Shai-Hulud 蠕虫之后，第二起确认的自我传播 npm 攻击。说明这种玩法已经被黑客摸透了，以后只会更多。 npm 生态系统正遭遇一场前所未有的供应链灾难！一个名为Ca
IT之家 3 月 28 日消息，据《商业内幕》今日报道，在 Meta，AI 已经无处不在。多位员工透露，Meta 近期开始集中举办高强度“AI 培训周”，通过密集培训和实践活动，推动员工更深入使用
智通财经APP获悉，美股网络安全板块周五集体承压下行，CrowdStrike(CRWD US)、Palo Alto Networks(PANW US)和Zscaler(ZS US)股价均下跌逾5%，
热门专题
热门推荐
角色与光锥适配深度解析 为队伍挑选合适的光锥，往往能起到画龙点睛的作用。今天，我们就来深入聊聊几款功能各异的光锥，看看它们如何与特定命途的角色产生化学反应。 酣战如始 1 属性与适配角色：作为同谐命途的光锥，其核心属性集中在速度与能量恢复上。这无疑是那些专注于辅助队友、提供团队增益角色的优质选择。
什么是对冲？ 加密货币市场的价格变化，向来以快速剧烈著称。上午还在上涨的资产，下午就可能面临回调。在这种高波动的环境下，交易者们自然会寻求一种方法来保护自己的资金免受冲击。这种方法就是对冲——一种旨在降低风险、提升投资组合稳定性的核心策略。简单来说，对冲的核心逻辑在于：当你持有的主要加密货币资产价值
荣耀平板PC化升级计划公布，将带来PC交互、PC级应用支持等特性 三月十号，荣耀的一场重磅发布会，揭开了其平板产品线战略升级的序幕。在荣耀Magic V6旗舰新品发布会后，荣耀终端股份有限公司全场景产品线的负责人，@荣耀潇哥，进一步分享了一项备受关注的“平板PC化升级计划”。 在分享中，@荣耀潇哥清
5 分钟充好，9 分钟充饱，比亚迪闪充补上新能源转型最后一块拼图 “没有人比我们比亚迪更懂电池。”这句在发布会上掷地有声的口号，背后是实打实的技术突破。前不久的比亚迪“闪充中国改变世界”发布会上，王传福总裁正式揭晓了第二代刀片电池与配套的闪充技术，一组数据瞬间引爆了行业： 从10%到70%电量，只需
IT之家 3 月 31 日消息，OPPO K15 Pro 系列手机已官宣将于明日 14:30 正式发布。IT之家注意到，OPPO K15 Pro 手机已现身正式，并公布了核心配置信息，IT之家附如下