大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
所有前端、区块链、Web3、DevOps开发人员紧急自查！
知名安全厂商JFrog最新重磅预警：臭名昭著的朝鲜Lazarus（拉撒路）黑客组织，在全球JavaScript官方仓库npm投放6款高仿恶意代码包，专门利用开发者手误拼写漏洞发动供应链投毒。
该团伙仅2026上半年就靠各类黑客行动席卷全球约643亿韩元（折合4.47亿人民币）加密资产，占全球数字货币被盗总额66%。如今他们放弃直接攻击交易所，把黑手伸向千千万万程序员的开发电脑，一旦引入恶意依赖，SSH密钥、云AK、加密钱包、公司核心源码全部拱手送人。
一、国家级黑产流水线：仿冒包以假乱真，肉眼完全分辨不清
很多开发者写项目时图省事，搜索插件随手复制包名，这恰恰是Lazarus精准狩猎的突破口。
本次曝光6款恶意包全部瞄准前端热门构建工具Rollup生态：
正规包：rollup-plugin-polyfill-node（月下载百万级，前端打包必备）
黑客伪造：rollup-packages-polyfill-core、rollup-runtime-polyfill-core
造假细节拉满，普通开发者根本看不出破绽
1. 名称高度近似，仅调换/增减字母
利用人眼视觉盲区，把plugin改成packages、runtime替换后缀，搜索列表并排摆放极易选错。
2. 文档、官网链接、介绍全盘复制
README、使用示例、安装命令完全照搬原版，点开仓库首页和官方毫无差别，无任何明显破绽。
3. 功能正常不报错
项目引入后打包、编译流程完全正常，不会弹窗报错降低警惕，后台静默执行恶意逻辑。
二、四层隐身攻击链路，杀毒、静态扫描全部失效
不同于简单植入后门的劣质恶意包，Lazarus这套工具是国家级APT标准多层隐蔽架构，防御设备很难拦截：
第一层：静态无害伪装
包本体干净无恶意代码，常规npm audit、静态代码扫描查不出风险。
第二层：环境识别反检测
自动识别沙箱、安全分析虚拟机，检测到审计环境直接休眠，只有真实开发电脑才激活攻击。
第三层：安装阶段远程拉取载荷
执行npm install瞬间，后台偷偷访问黑客境外服务器下载加密恶意脚本，全程内存运行，不在磁盘留下恶意文件。
第四层：持久远控+全盘窃取
恶意程序落地后完成两大核心任务：
1. 全盘扫描：浏览器钱包、SSH私钥、云服务商密钥、CI流水线令牌、数据库密码全部上传黑客C2；
2. 植入长期后门：持续监控屏幕、远程操控开发机，横向渗透企业内网服务器集群。
三、攻击逻辑：从一台开发机，击穿整个公司防线
Lazarus的战术已经全面升级，不再局限于直接攻击交易所、加密平台，而是走“供应链温水煮青蛙”路线：
1. 瞄准程序员：前端、区块链、Web3从业者高频使用npm，几乎人人会下载第三方依赖；
2. 单点突破：只要任意一名开发人员引入恶意包，个人电脑沦陷；
3. 连锁污染：被盗密钥可登录公司Git、云服务器、线上业务系统；
4. 终极收割：窃取企业数字资产、加密钱包，直接转移清空，过往多家交易所数亿资产被盗均出自该组织手笔。
区块链数据分析机构TRM数据显示，2026上半年全球加密货币被盗资产里，三分之二都流入Lazarus控制的洗钱通道，此前韩国多家加密交易所接连遭遇大额失窃，背后都是同一团伙。
四、3类高危人群，立刻自查项目依赖
1. 前端/全栈开发者：日常使用Rollup、Webpack、Vite等打包工具，极易误下载仿冒插件；
2. Web3、区块链项目团队：该团伙重点盯紧数字货币相关企业，失窃损失最高；
3. DevOps、运维工程师：开发机存放大量云、服务器权限密钥，中招风险极高。
五、企业&开发者落地防御清单（立刻执行）
个人开发者防护
1. 复制包名逐字核对，区分plugin/packages这类易混淆词汇，杜绝手误；
2. 本地.npmrc配置`ignore-scripts=true`，禁用自动执行安装脚本；
3. 统一使用`npm ci`而非`npm install`，锁定依赖版本，防止自动拉取恶意新版；
4. 新第三方包上线前查看下载量、维护者活跃度，冷门高仿包直接弃用；
5. 开发机不存放生产环境密钥、加密钱包私钥，做好环境隔离。
企业团队标准化管控
1. 搭建私有npm镜像仓库，所有第三方包先人工安全审计再对内分发，禁止直连公共仓库；
2. CI流水线强制集成依赖扫描工具（Snyk、Socket），发现拼写劫持、异常外联直接阻断构建；
3. 限制构建服务器外网出站权限，拦截未知境外域名连接；
4. 定期全量扫描项目依赖图谱，排查高仿拼写劫持类恶意包；
5. 全员开展供应链安全培训，杜绝随手复制陌生包名。
六、结尾警示
开源依赖不是免费安全背书，一行install命令，就是黑客入侵企业的入口。
Lazarus作为国家级黑客组织，资金、技术、人力充足，正在批量覆盖npm、PyPI、Go等全代码仓库，拼写劫持、潜伏投毒会成为长期常态化攻击手段。
立刻打开项目package.json，检索Rollup相关插件，核对包名是否中招，一旦下载过仿冒恶意包，第一时间断开网络、全盘密钥轮换、全盘查杀，避免企业核心资产被盗。
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。