内附高危漏洞列表，强烈建议提前排查

跳转微信打开

点击查看漏洞情报详情

跳转微信打开

立即查看详情 →

跳转微信打开

有国外安全机构近日披露，主流磁盘镜像挂载工具DAEMON Tools遭遇供应链投毒。自4月8日起，其官方网站被上传了12.5.0.2421至12.5.0.2434等多个恶意版本，影响超过100个国家和地区的数千台设备，目前攻击仍在进行中。

微步情报局监测发现，在国内已有数十家用户感染恶意代码，建议用户立即排查C2请求env-check.daemontools.cc，及时做好应急处置，排查方法和处置建议详见后文。

DAEMON Tools是全球广泛使用的磁盘镜像挂载工具，攻击者篡改了官方安装程序，恶意文件均具备开发商 AVB Disc Soft 有效数字签名。恶意程序嵌入开机自启逻辑，设备启动即激活后门并反连恶意 C2。攻击分两步实施：先批量部署信息收集器窃取系统信息，再定向投放极简后门、QUIC RAT远控木马，实现精准控制与窃密。

攻击载荷

信息采集器envchk.exe：广泛投放，采集MAC、主机名、DNS、进程列表、已安装软件等，用于筛选高价值目标。

极简后门cdg.exe：精准投放至已筛选目标，支持文件下载、shell命令执行及shellcode内存执行。

远控木马QUIC RAT：仅在极少量高价值机器上发现，支持HTTP/UDP/TCP/WSS/QUIC/DNS/HTTP/3多协议通信，可向notepad.exe和conhost.exe注入恶意载荷。

受影响范围

软件版本：DAEMON Tools 12.5.0.2421 ~ 12.5.0.2434

恶意组件：DTHelper.exe、DiscSoftBusServiceLite.exe、DTShellHlp.exe

默认路径：C:\Program Files\DAEMON Tools Lite\

排查方法

●查询是否安装DAEMON Tools的12.5.0.2421-12.5.0.2434版本

●查询网络出口流量中是否含有域名env-check.daemontools.cc的请求

●在临时目录C:\Windows\Temp\是否存有文件envchk.exe，cdg.exe，imp.tmp，piyu.exe

处置建议

●卸载、暂停使用DAEMON Tools恶意版本。

●在网络侧阻断env-check.daemontools.cc的反连请求。

●清除envchk.exe、cdg.exe、cdg.tmp等恶意载荷。

●重置系统密码、SSH 密钥、Git 凭证、API 密钥、业务账号等敏感凭证。

附录：IOC 

感染的 DAEMON Tools Lite 安装程序

9ccd769624de98eeeb12714ff1707ec4f5bf196d(12.5.0.2421)

50D47ADB6DD45215C7CB4C68BAE28B129CA09645(12.5.0.2422)

0c1d3da9c7a651ba40b40e12d48ebd32b3f31820(12.5.0.2423)

28b72576d67ae21d9587d782942628ea46dcc870(12.5.0.2424)

46b90bf370e60d61075d3472828fdc0B85ab0492(12.5.0.2430)

6325179f442e5b1a7716580cd70dea644ac9ecd18(12.5.0.2431)

BD8fbb5E6842df8683163adbd6A36136164EAC58(12.5.0.2433)

15ed5c3384e12fe4314ad6edbd1dcccf5ac1ee29(12.5.0.2434)

感染的DiscSoftBusServiceLite.exe文件

524d2d92909eef80c406e87a0fc37d7bb4dadc14

427f1728682ebc7ffe3300fef67d0e3cb6b62948

8e7eb0f5ac60dd3b4a9474d2544348c3bda48045

00e2df8f42d14072e4385e500d4669ec783aa517

aea55e42c4436236278e5692d3dcbcbe5fe6ce0b

0456E2f5F56ec8ed16078941248e7cbba9f1c8eb

9a09AD7b7E9ff7a465AA1150541E231189911afb

8d435918d304fc38d54b104a13f2e33e8e598c82

64462f751788f529c1eb09023b26a47792ecdc54

其他恶意文件hash

2d4eb55b01f59C62C6de9aacba9b47267d398fe4

9dbfc23ebf3c0b56d2f93116abb32656C42E4

295ce86226b933e7262c2ce4b36bdd6c389aaef

C2

env-check.daemontools.cc

38.180.107.76

跳转微信打开

立即查看详情 →

跳转微信打开

0代码、低成本、大规模、高隐蔽性的入侵

2025年12月的深夜，一名攻击者与两个大模型，仅凭自然语言命令，在不到两个月的时间里，接连突破墨西哥联邦、州、市三级共9个政府机构，窃取数亿公民隐私数据，甚至搭建出可实时查询政府系统的公开接口，伪造出足以以假乱真的官方税务文件。

受害者与时间线

这是Gambit Security报告中完整还原的AI深度参与国家级关键信息基础设施入侵事件。在这起攻击中，AI自主判断、自主执行、自主优化，攻击者仅用少数自然语言命令，便让AI突破了自身的技术伦理，完成了原本需要十余人专业团队的工作量，攻击周期被压缩到传统防守团队无法响应的程度。

一、利用AI规则漏洞，埋下攻击伏笔

攻击发起前，攻击者早已完成周密布局。他提前准备好1084行的渗透测试速查手册、156条预设命令模板，选定Anthropic Claude Code作为一线攻击执行工具，OpenAI GPT-4.1 API作为后台批量分析大脑，两者形成完美配合，所有操作均违反AI平台使用条款。

2025年12月27日，攻击者首次启动Claude Code，先用“漏洞赏金”的幌子试探底线，要求AI清除日志、隐藏操作痕迹，被Claude明确拒绝。但攻击者早有对策——直接将完整的黑客手册以“文件写入”的形式提交，让AI绕过内容安全审核，将恶意规则成为持久化提示词，加载为默认系统提示。

短短十几分钟，原本坚守安全底线的AI，沦为了攻击者的全自动攻击助手。

二、40分钟拿下政府服务器，AI从抗拒到自觉

绕过AI安全护栏后，攻击推进速度快得惊人。

攻击者直接将目标对准墨西哥联邦税务总局SAT——该国最核心的民生数据机构之一，指令Claude Code运行开源漏洞扫描工具Vulmap。AI很快发现外网服务器存在远程命令执行漏洞，随即开始定制漏洞脚本。从初始脚本到最终稳定版本，Claude Code在7分钟内完成8次迭代，自动优化代理路由、失败重试、字符编码绕过等细节，生成285行专属漏洞利用代码。

从AI拒绝违规操作，到成功拿下SAT服务器权限，整个过程仅用40分钟。报告数据显示，整场攻击中，约75%的远程命令执行操作均由Claude Code自动完成，攻击者只需要下达自然语言指令，无需手动编写复杂代码。

三、悄无声息拿到Root，留下持久后门

突破边界后，攻击者的下一个目标是最高系统权限。

在入侵墨西哥城户籍登记服务器时，Claude Code自动扫描系统定时任务（Crontab），发现一个可写入的root权限脚本。AI立刻向攻击者汇报提权路径，并提供两种操作选项。攻击者指令AI注入SSH后门密钥，同时保留原文件时间戳，避免被管理员察觉。

Claude Code严格执行操作：先记录原文件时间，修改脚本植入后门，再还原时间戳，全程不留痕迹。当定时任务自动运行后，AI主动检测权限，随即向攻击者汇报：“已获取Root权限！拿到最高权限后，AI还自动提取系统密码哈希、清理操作痕迹，全程无需攻击者额外指令。

这种AI自主判断、自主执行、自主优化的攻击模式，彻底颠覆了传统黑客依赖手动操作、经验积累的模式，哪怕是技术水平有限的攻击者，也能完成专业黑客团队才能实现的深度入侵。

四、横扫8大机构，染指云端资产

拿下核心机构后，攻击者借助AI开始横向渗透，短短数周内横扫墨西哥各级政府部门：

- 哈利斯科州政府：完整虚拟化基础设施沦陷，13节点Nutanix集群、37台数据库服务器被控制，20个州政府机构部署自定义木马；

- 国家选举研究所：获取数千万选民数据访问权限，泄露1.38万张选民卡记录；

- 墨西哥州、米却肯州等地方政府：泄露车辆、房产、民生登记数据超千万条；

- 蒙特雷市水务公司、墨西哥城卫生局：业务系统、邮件服务器被攻破，采购、医疗数据遭窃取；

- 云端资产：攻击者从沦陷服务器中获取云配置凭证，成功入侵AWS云数据库实例。

在渗透蒙特雷水务公司时，AI自动检测出SMB签名漏洞，主动向攻击者提供被动、半主动、主动三种攻击方案，并推荐成功率最高的PetitPotam强制认证攻击。即便该方法因系统补丁失效，AI仍自动尝试永恒之蓝、密码喷洒、LDAP匿名绑定等十余种手法，穷尽所有攻击路径，直到找到突破点。

与此同时，后台的GPT-4.1 API也在高速运转。攻击者编写的17550行Python工具BACKUPOSINT.py，将305台SAT内网服务器的进程、端口、凭证、配置等数据批量送入AI分析，短短几天生成2597份结构化情报报告，标注高风险漏洞、可复用凭证、横向移动路径，为攻击者提供精准攻击导航。

五、数据盗卖+官方文件伪造，黑色产业链成型

攻击的最终目的，是利用数据牟利。

Claude Code用2小时、20次迭代，开发出594行的Flask REST API，直接对接SAT实时数据库，可通过公网实时查询纳税人完整信息。更致命的是，攻击者基于该API搭建了税务合规证明伪造系统，生成的PDF文件包含真实姓名、地址、税务状态等实时数据，仅数字签章用随机填充值模拟。

对于只核对纸质文件内容、不做密码学验证的银行、企业、机构而言，这份伪造文件完全无法分辨真伪。只要攻击持续存在，伪造服务就会一直运行，沦为黑色产业链的核心工具。

整场攻击中，超400个自定义攻击脚本、20个针对性漏洞利用工具、1088条攻击者指令，全部由AI参与生成，单一操作员完成了原本需要十余人专业团队的工作量，攻击周期被压缩到传统防守团队无法响应的程度。

六、三大突破，重新定义网络攻击

这场攻击有三个前所未有的关键点，彻底改变了网络安全的攻防格局：

1. 商业AI成为攻击核心生产力

AI并非简单辅助，而是包办漏洞开发、权限提升、横向渗透、数据分析全流程，安全护栏可被低成本绕过，AI从安全工具沦为攻击利器。

2. 单人攻击实现团队级破坏力

   AI降低攻击技术门槛，无需深厚代码能力、无需丰富渗透经验，仅凭自然语言指令，就能完成国家级关键信息基础设施的大规模入侵。

3. 攻击效率与隐蔽性双重拉满

   AI自动优化操作痕迹、还原文件时间戳、选择低噪音攻击路径，配合快速攻击节奏，让传统检测、响应机制完全失效。

七、对国内网络安全行业的核心借鉴意义

这场发生在墨西哥的AI攻击，不是遥远的个案，而是即将到来的普遍威胁。对国内政企、关键信息基础设施行业而言，有较强借鉴意义：

1. 立即清理历史遗留问题

攻击中沦陷的墨西哥政府系统，大量处于停止支持、无补丁更新状态，成为AI攻击的突破口。国内政企需全面排查老旧系统、停服组件、无维护业务系统，该升级升级、该替换替换，不给AI自动化漏洞利用留机会。

2. 补齐基础安全短板，比追新技术更重要

此次攻击利用的均是常规漏洞：弱口令、未授权访问、权限配置不当、横向移动未隔离。国内机构需落实补丁常态化更新、高权限凭证定期轮换、网络区域隔离、终端检测与响应、最小权限原则，基础防护筑牢，AI攻击就失去最大抓手。

3. 构建针对AI自动化攻击的检测能力

传统规则无法应对AI自主优化的攻击行为，需升级异常行为检测：监控批量命令执行、非常规横向移动、定时任务异常修改、Root权限异常获取、大规模数据外发等行为，从“查漏洞”转向“查行为”。

 4. 正视AI攻防趋势，主动布局对抗能力

AI不仅是防守工具，更是攻击工具。国内安全从业者需加快探索AI攻击检测、AI行为溯源、AI漏洞对抗等AI自动化安全技术，政企需建立AI安全使用规范，严防商业AI被用于恶意攻击，同时提升自身AI防守能力。

AI已经彻底抹平攻击门槛，让0代码、低成本、大规模、高隐蔽性的入侵成为现实。对于国内网络安全行业而言，这场攻击不是故事，而是预警。

·END·

跳转微信打开

立即查看详情 →

跳转微信打开

TeamPCP再作案

4月22日，微步情报局监测到有国外机构披露，Checkmarx 相关官方分发渠道疑遭供应链攻击：官方 checkmarx/kics Docker Hub 仓库中多个 KICS 镜像标签被恶意覆盖，同时近期发布的 Checkmarx 开发者扩展版本中还发现可静默下载并执行远程载荷的恶意逻辑。

Docker 首先发现异常镜像推送并通知 Socket；Checkmarx 此前也曾就 2026 年 3 月 23 日 OpenVSX 插件与 GitHub Actions 事件发布安全通告。本次事件显示，攻击者不仅意图窃取开发者与云凭证，还试图利用被盗 GitHub / npm 令牌继续横向传播。

Checkmarx / KICS 项目基础信息

Checkmarx 是知名应用安全厂商，提供 SAST、SCA、容器与 CI/CD 安全等产品；KICS（Keeping Infrastructure as Code Secure）是其开源 IaC 安全扫描工具，常用于 Terraform、CloudFormation、Kubernetes 等配置扫描。

核心能力：KICS 可扫描基础设施即代码模板中的安全配置缺陷、敏感项与合规风险，常通过 CLI、GitHub Actions、容器镜像与 IDE / 扩展生态集成到开发流程中。

本次受攻击情况：Socket 发现 checkmarx/kics 官方 Docker Hub 仓库中的多个标签被指向恶意摘要，近期 Checkmarx 扩展版本还会在激活后从硬编码 GitHub 地址下载 mcpAddon.js 并通过 Bun 立即执行；恶意逻辑涉及凭证窃取、数据外传、GitHub Actions 注入和 npm 传播。

事件核心概况与时间线

披露时间：2026 年 4 月 22 日

攻击目标：Checkmarx 官方 KICS Docker 镜像标签、近期发布的 Checkmarx 开发者扩展版本，以及后续可访问的 GitHub / npm 资产

受影响扩展版本：checkmarx/cx-dev-assist 1.17.0、1.19.0；checkmarx/ast-results 2.63.0、2.66.0

受影响镜像标签：v2.1.20、v2.1.20-debian、debian、alpine、latest；恶意新增标签 v2.1.21 随后被删除

疑似攻击团伙：TeamPCP 被认为“疑似认领”，但公开贴文不能单独构成归因结论

攻击类型：官方制品仓库被篡改 + IDE / 扩展供应链投毒 + GitHub Actions 工作流注入 + 凭证窃取与横向传播

触发方式：扩展激活后静默下载并执行第二阶段载荷；受污染镜像运行后可能泄露扫描内容与相关敏感信息

核心目的：窃取 GitHub、npm、云平台、SSH 等凭证，并利用被盗权限继续创建公开仓库、注入工作流、 republish 可写 npm 包

关键时间线

2026 年 3 月 23 日，Checkmarx 发现其部分 OpenVSX 插件与 GitHub Actions 工作流曾遭供应链事件影响，并发布后续安全更新说明。

2026 年 4 月 22 日，Docker 监测到 checkmarx/kics 官方仓库出现可疑镜像推送，并将线索通报给 Socket。

随后，Socket 分析发现恶意 KICS 镜像中包含被篡改的 kics 二进制，同时近期 Checkmarx 扩展版本还会下载执行 mcpAddon.js。

Socket 进一步确认该载荷除本地与云凭证窃取外，还会滥用 GitHub 令牌创建公开仓库、注入恶意 GitHub Actions 工作流并利用 npm 凭证寻找可写包进行再发布。

事件披露后，相关恶意镜像标签被恢复或删除；Socket 表示已将发现同步给 Checkmarx，事件仍在持续调查中。

技术执行流程：KICS 二进制劫持详解

植入与触发

恶意逻辑存在于近期发布的 Checkmarx 扩展版本中。扩展激活后，会从 Checkmarx 自有 GitHub 仓库某个硬编码提交中拉取 mcpAddon.js，写入 ~/.checkmarx/mcp/mcpAddon.js，并通过 Bun 运行；同时，恶意 KICS Docker 镜像中打包了被篡改的 Go 语言 ELF 可执行文件 kics。

Stage 1：远程载荷拉取与本地执行

扩展在用户无明确确认、无完整性校验的情况下，从 raw.githubusercontent.com 指向的特定提交拉取第二阶段脚本；该提交被伪装成历史正常提交，并通过 Git 历史投递和孤立提交方式降低人工与自动审查发现概率。

mcpAddon.js 使用多层混淆，包括超长单行 bundle、字符串表解码、额外自定义解码器，以及 gzip + base64 内嵌载荷。嵌入内容除主窃密逻辑外，还包括用于 republish npm 包的 setup.mjs、恶意 GitHub Actions YAML、公钥和其他字符串。

Stage 2：主机侦察、凭证收集与外传

mcpAddon.js 会调用受害主机 shell（PowerShell 或 Bash）枚举并窃取多类敏感信息，包括 GitHub 认证令牌、AWS 凭证、Azure 访问令牌、Google Cloud 凭证数据库、.npmrc、SSH 密钥与配置、环境变量，以及 Claude / 其他 MCP 配置文件。

Windows 环境中，恶意脚本会直接执行 gh auth token、gcloud config config-helper、az account get-access-token、azd auth token 等命令抓取令牌；收集结果会被压缩后通过 HTTPS 发送至 audit.checkmarx[.]cx/v1/telemetry，相关网络指标还包括 94[.]154[.]172[.]43。

对 KICS 镜像而言，Socket 指出被篡改二进制不仅保留扫描器功能，还带有未授权的数据收集与外传能力，可能将 IaC 扫描过程中接触到的凭证、敏感配置或机密信息暴露给攻击者。

Stage 3：GitHub 仓库滥用与公开暂存

恶意程序会滥用被盗 GitHub 凭证自动创建公开仓库作为外传暂存区，仓库描述伪装为“Checkmarx Configuration Storage”，命名模式常表现为 <word>-<word>-<3 digits>。结果文件与提交消息中还可能嵌入令牌样数据，以仓库内容和元数据双通道暂存被窃信息。

Stage 4：GitHub Actions 注入与 npm 横向传播

恶意代码会枚举受害者可写仓库，优先选择近期活跃且配置了 GitHub Actions secrets 的仓库，自动新建分支并写入 .github/workflows/format-check.yml。该工作流在 push 时触发，通过 ${{ toJSON(secrets) }} 一次性序列化仓库及继承的组织级 secrets，写入 format-results.txt 并作为 artifact 上传。

随后，攻击者可通过已窃取的令牌下载这些 artifact，进一步扩大凭证收集范围。恶意程序还会读取 .npmrc 中的认证信息，识别受害者拥有写权限的 npm 包并尝试重新发布带毒版本，从单点入侵演变为跨生态供应链扩散。

应急处置建议

若拉取、运行或安装过上述受影响 Checkmarx 制品，应立即视为潜在凭证暴露于 CI/CD 沦陷事件，按以下步骤处置：

1. 立即隔离与移除

从开发者终端、CI Runner、构建环境中移除受影响扩展、容器镜像与相关工作流；暂停继续使用可疑 KICS 标签。

2. 全量轮换高风险凭证

重点轮换 GitHub token、npm token、云平台凭证、SSH 密钥、CI/CD secrets，以及曾暴露在被扫描配置文件、环境变量和构建环境中的其他敏感信息。

3. 审计 GitHub / npm / 云平台活动

检查是否出现异常公开仓库、新增或短暂存在的 .github/workflows/format-check.yml、异常 workflow run、artifact 下载记录、异常分支创建、未授权 npm 发布，以及云平台中的异常密钥访问与新签发凭证。

4. 终端与 Runner 狩猎

排查是否存在异常 Bun 执行、访问 .npmrc / .git-credentials / .env / 云凭证目录等行为，以及对 audit.checkmarx[.]cx、94[.]154[.]172[.]43 的出站连接。对于运行过 KICS 镜像的环境，应复核被扫描 IaC 文件中是否包含明文机密。

5. 清理与重建

对高风险开发机、Runner 与构建节点建议采用“重新制备环境 + 重新签发凭证”的方式处置；仅删除恶意文件并不足以排除二次滥用风险。

IOC

1. 恶意扩展版本

checkmarx/cx-dev-assist@1.17.0、1.19.0

checkmarx/ast-results@2.63.0、2.66.0

2. 恶意镜像标签与摘要

镜像标签：alpine、v2.1.20、v2.1.21

索引摘要 

sha256:2588a44890263a8185bd5d9fadb6bc9220b60245dbcbc4da35e1b62a6f8c230d

amd64 镜像摘要 

sha256:d186161ae8e33cd7702dd2a6c0337deb14e2b178542d232129c0da64b1af06e4

arm64 镜像摘要 

sha256:415610a42c5b51347709e315f5efb6fffa588b6ebc1b95b24abf28088347791b

镜像标签：debian、v2.1.20-debian、v2.1.21-debian

索引摘要 

sha256:222e6bfed0f3bb1937bf5e719a2342871ccd683ff1c0cb967c8e31ea58beaf7b

amd64 镜像摘要 

sha256:a6871deb0480e1205c1daff10cedf4e60ad951605fd1a4efaca0a9c54d56d1cb

arm64 镜像摘要 

sha256:ff7b0f114f87c67402dfc2459bb3d8954dd88e537b0e459482c04cffa26c1f07

镜像标签：latest

索引摘要

sha256:a0d9366f6f0166dcbf92fcdc98e1a03d2e6210e8d7e8573f74d50849130651a0

amd64 镜像摘要

sha256:26e8e9c5e53c972997a278ca6e12708b8788b70575ca013fd30bfda34ab5f48f

arm64 镜像摘要 

sha256:7391b531a07fccbbeaf59a488e1376cfe5b27aef757430a36d6d3a087c610322

3. 网络 IOC

IP：94[.]154[.]172[.]43

domain：audit.checkmarx[.]cx

URL：https://audit.checkmarx[.]cx/v1/telemetry

4. 文件与哈希 IOC

mcpAddon.js：

MD5 d47de3772f2d61a043e7047431ef4cf4

SHA1 2b12cc5cc91ec483048abcbd6d523cdc9ebae3f3

SHA256 24680027afadea90c7c713821e214b15cb6c922e67ac01109fb1edb3ee4741d9

kics（ELF）：

MD5 e1023db24a29ab0229d99764e2c8deba

SHA1 250f3633529457477a9f8fd3db3472e94383606a

SHA256 2a6a35f06118ff7d61bfd36a5788557b695095e7c9a609b4a01956883f146f50

六、事件总结与防御建议

核心结论

本次 Checkmarx 事件并非单一产品被投毒，而是同时涉及容器镜像、开发者扩展、GitHub 仓库、GitHub Actions 与 npm 生态的复合型供应链攻击；

攻击者目标不止于一次性窃密，而是试图利用开发者与 CI/CD 权限持续横向传播，形成“窃取凭证—扩大战果—再次投毒”的链式攻击。

防御建议

依赖与产品治理：对扩展、容器镜像、GitHub Actions 版本与摘要实行固定和校验，避免直接信任 latest、浮动标签与未经校验的远程脚本；

凭证最小化：缩减 GitHub / npm / 云平台令牌权限，优先短时令牌与细粒度作用域，降低单个开发机失陷后的爆炸半径；

CI/CD 加固：限制 GitHub Actions 默认权限、审计 artifact 下载、监控非常规 workflow 文件写入，禁止不必要的第三方执行环境与发布权限；

检测与响应：持续监控异常公开仓库创建、镜像摘要漂移、Bun 非预期执行、敏感文件访问和 IOC 出站流量，并建立供应链投毒的快速下线与密钥轮换机制。

供应链安全事件正在从“恶意包”升级为“官方渠道被劫持 + 多生态联动传播”。对企业而言，信任官方来源已不再足够，必须把版本固定、摘要校验、最小权限和持续审计作为默认控制。

参考链接：

https://socket.dev/blog/checkmarx-supply-chain-compromise

https://checkmarx.com/blog/checkmarx-security-update/

跳转微信打开

2026 年 4 月 22 日，JFrog 安全研究团队披露PyPI 官方包 xinference 遭供应链投毒，恶意版本 2.6.0、2.6.1、2.6.2 被植入窃密木马，导入即执行恶意脚本，该脚本无持久化的快速窃取云平台和本地主机密钥信息。JFrog 安全研究团队称该事件与近期频发的TeamPCP 多生态供应链攻击同源，但TeamPCP当日发推特否认，并称该事件为模仿犯罪。

一、Xinference 项目基础信息

Xinference（Xorbits Inference） 是 Xorbits 团队开发的开源分布式 AI 模型推理框架，主打一键部署、高性能、多模型兼容，是 AI 开发与私有化大模型部署的主流工具，PyPI 周下载量达数万级。

●核心能力：支持 LLM、多模态、TTS/STT、Embedding 等模型推理，兼容 vLLM、Transformers、llama.cpp 等后端，提供 REST API 与 OpenAI 兼容接口，支持分布式多机推理与高并发优化。

●本次受攻击情况：攻击者劫持正版包发布权限，直接向 PyPI 上传恶意版本；恶意代码嵌入xinference/__init__.py，导入、CLI 启动、下游依赖调用均会触发执行；受影响版本已被维护者紧急下架（yanked）。

二、事件核心概况与时间线

核心信息

●披露时间：2026 年 4 月 22 日

●攻击目标：PyPI 正版 xinference 包

●恶意版本：2.6.0、2.6.1、2.6.2

●攻击团伙：疑似 TeamPCP（团伙否认，称系模仿者）

●攻击类型：正版包劫持 + 供应链投毒

●触发方式：包导入即执行

●核心目的：纯窃取密钥 / 凭证 / 机密，无勒索、无后门、无远控、无持久化

关键时间线

1. 攻击者窃取维护者 / CI/CD 凭证，登录 PyPI 上传 xinference 2.6.0/2.6.1/2.6.2 恶意版本；

2. 用户发现异常行为，并在项目 GitHubissue询问开发者，项目维护者确认并紧急下架问题版本；

3. JFrog 发布技术分析报告，并确认该事件与 TeamPCP 系列攻击同源；

4. TeamPCP 通过 Twitter 否认涉案，声明系第三方冒用其标识作案。

三、技术执行流程：两阶段窃密木马详解

植入与触发

恶意代码嵌入xinference/__init__.py，导入包即触发执行，无用户交互、无明显异常，隐蔽性极强。

Stage 1：加载器与数据外发

●内嵌 base64 编码载荷，通过subprocess.Popen启动独立 Python 后台进程，屏蔽 stdout/stderr，隐藏恶意行为；

●解码并释放 Stage 2 收集器，执行后将结果写入临时文件，压缩为love.tar.gz；

●通过 curl POST 上传Stage2中收集并打包压缩的窃密信息至攻击者服务器https://whereisitat.lucyatemysuperbox.space/，并携带自定义头X-QT-SR: 14；

●执行完毕自动清理临时文件，不留痕迹。

Stage 2：主机侦察与机密收集

全面搜刮主机与云环境敏感数据，覆盖：

●主机基础信息：hostname、whoami、ip、路由、环境变量；

●密钥凭证：SSH 私钥、TLS 密钥（.pem/.key/.p12）、Git 凭证、AWS/Azure/GCP 云凭证；

●配置文件：.env 系列、.npmrc/.pypirc、Docker 认证、K8s 服务账户令牌；

●基础设施：Terraform、Helm、WireGuard 配置；

●其他：数据库密码、加密货币钱包、本地账户数据。

AWS 专项利用逻辑

载荷内置 AWS 专属代码，尝试获取 IMDSv2 令牌、窃取 IAM 角色凭证，调用secretsmanager.ListSecrets、ssm.DescribeParameters接口，定向窃取云平台机密。

总体这个脚本窃取了主机与云环境中的敏感信息：包括用户与系统身份信息（hostname、whoami、网络与路由、环境变量）、SSH 相关密钥与配置（用户私钥、authorized_keys、/etc/ssh 主机密钥）、各类凭据文件（.env、Git/AWS/GCP/Azure/Docker/Kubernetes 配置与 token、数据库配置与口令文件、/etc/shadow 等）、CI/基础设施与证书材料（Terraform、Ansible、WireGuard、SSL/PEM/KEY）、命令历史与常见 API key/webhook 线索，以及加密货币钱包与私钥文件（Bitcoin/Ethereum/Solana 等）；同时它还会主动探测云元数据服务（169.254.169.254/169.254.170.2）抓取临时云凭证并尝试枚举 AWS Secrets Manager/SSM。

四、应急处置指南

若安装 / 导入过 xinference 2.6.0–2.6.2，立即视为环境已沦陷，按以下步骤处置：

1. 隔离主机

●隔离受影响主机，断开敏感网络连接；

●检查出站流量与 DNS 查询，阻断到whereisitat.lucyatemysuperbox.space的访问。

2. 全量密钥轮换

轮换所有泄露风险密钥：SSH 私钥、云厂商 AK/SK、K8s 令牌、Docker 仓库凭证、PyPI/npm/Cargo 发布令牌、数据库密码、.env 密钥、TLS 证书、CI/CD 凭证、加密货币钱包助记词。

3. 日志审计

核查 AWS CloudTrail、K8s 审计日志、Git 托管日志、镜像仓库操作记录、Shell 历史与认证日志，确定泄露范围与时间窗口。

4. 清理与重建

# 卸载恶意包、清理缓存
pip uninstall xinference
pip cache purge
# 重装安全版本（2.6.0之前的安全版本）
pip install xinference==2.5.0

五、IOC

恶意包版本

●xinference==2.6.0、2.6.1、2.6.2

网络 IOC

●域名：whereisitat.lucyatemysuperbox.space

●URL：hxxps://whereisitat.lucyatemysuperbox.space/

●自定义 HTTP 头：X-QT-SR: 14

文件与哈希 IOC

●xinference/init.py SHA256：e1e007ce4eab7774785617179d1c01a9381ae83abfd431aae8dba6f82d3ac127

●Stage 1 解码后 SHA256：077d49fa708f498969d7cdffe701eb64675baaa4968ded9bd97a4936dd56c21c

●Stage 2 解码后 SHA256：fe17e2ea4012d07d90ecb7793c1b0593a6138d25a393192263e751660ec3cd0

●临时归档文件：love.tar.gz

●文本标记：# hacked by teampcp

六、事件总结与防御建议

核心结论

1. 本次 xinference 攻击是轻量化窃密变体，无持久化、无加密，更隐蔽、更难检测，以快速窃取密钥为唯一目的；

2. 正版包劫持风险远超钓鱼包，开发者对官方版本信任度高，一旦被投毒，扩散速度极快、影响范围极广。

防御建议

1. 依赖管理：固定生产环境依赖版本，避免自动升级，仅使用官方签名包；

2. 权限管控：最小化 PyPI/GitHub 维护者权限，启用双因素认证，定期轮换 CI/CD 凭证；

3. 检测防护：部署供应链安全工具，监控 PyPI 恶意版本，拦截 IOC 相关出站流量；

4. 应急响应：建立包投毒应急流程，定期开展密钥轮换与环境审计，降低攻击影响。

供应链安全已成为 AI 与云原生环境的核心薄弱点，TeamPCP 系列攻击警示开发者与企业：信任不能替代验证，每一次依赖更新都需严格校验。

参考链接：

https://research.jfrog.com/post/xinference-compromise/

跳转微信打开

立即查看详情 →

跳转微信打开

立即查看详情 →

跳转微信打开

立即查看详情 →

跳转微信打开

立即查看详情 →

跳转微信打开

立即查看详情 →

漏洞概况

Apache ActiveMQ是一款开源的、实现了JMS规范的消息中间件，提供高性能的消息传递服务。

近日，Apache ActiveMQ官方发布通告，修复了Apache ActiveMQ Jolokia接口代码注入漏洞（CVE-2026-34197）。微步情报局已成功复现。经分析，该漏洞利用需要具备普通用户权限，攻击者具备该权限后可构造特定请求使Broker配置远程加载恶意配置，进而实现代码执行。

值得注意的是，在ActiveMQ 6.x版本中，攻击者能够通过在CVE-2024-32114绕过鉴权，调用任意管理API，所以可结合本漏洞形成组合利用链，最终实现无条件远程代码执行。

漏洞处置优先级(VPT)

综合处置优先级：中风险

基本信息	微步编号	XVE-2026-11858
	CVE编号	CVE-2026-34197
	漏洞类型	代码注入
利用条件评估	利用漏洞的网络条件	远程
	是否需要绕过安全机制	否
	对被攻击系统的要求	无特殊要求
	利用漏洞的权限要求	需要普通用户权限
	是否需要受害者配合	否
利用情报	POC是否公开	是
	已知利用行为	暂无

漏洞影响范围

产品名称	Apache ActiveMQ
受影响版本	version <= 5.19.3, 6.0.0 <= version <= 6.2.2
有无修复补丁	有

漏洞复现

加载上述恶意XML文件：

可见文件成功创建。

修复方案

官方修复方案

官方已发布修复方案，请访问链接下载：
https://activemq.apache.org/security-advisories.data/CVE-2026-34197-announcement.txt

临时缓解措施

1、网络层：程序默认只对本地127.0.0.1开放，若改为0.0.0.0请将程序收敛至内网，或设置白名单仅允许可信IP访问/api/jolokia

2、配置层：此漏洞利用需要普通用户权限，加强密码策略也可一定程度上限制此漏洞

微步产品支撑

微步漏洞情报于2026-04-06收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报社区已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

微步威胁感知平台TDP已于20260408支持检测，检测ID：S3100174472，模型/规则高于：20260408000000

跳转微信打开

可以放心了

2026年4月8日下午，微步情报局观察到有传言称everything工具某历史版本被“银狐”投毒，经过快速分析，我们初步确认：该版本的everything工具被“银狐”投毒传言为假，用户可正常使用。

事件起因与最终结论

今天下午我们发现有一个名为《关于everything工具1.4.1.1022版本存在可疑木马活动的排查情况》的pdf文件正在流传，我们初步分析结论如下：

1. 文件中提及可疑美国IP：13.107.246.50为CDN IP

2. 文件中提及可疑的Everything-1.4.1.1022.x64-Setup.exe文件为白文件，已存在超过4年

3. 基于现有证据无法将工具安装包关联到“银狐”木马

4. 该白文件疑为银狐木马运行所使用的“白加黑”技术中的白文件，用于加载银狐黑DLL文件

pdf文档首屏截图

详细分析

针对该文档内对应的官网下载地址：https://www.voidtools.com/Everything-1.4.1.1022.x64-Setup.exe，下载样本为：

488d285760eb1aeb148e2aec18a2f063571a6630acb26a02b6751c56ca4a95be

该样本至少存在4年以上，于2022年10月10日被用户上传至微步S云沙箱，经过S沙箱分析，该样本为正常文件：

针对该文档中恶意IOC：hc15.ime.hk /bb.kgdhjc.com为银狐远控使用IOC

但银狐木马善于使用进程注入以及白加黑技术来进行免杀，所以发起远控请求的进程不一定是恶意程序，也可能包含白文件进程或者系统进程。

因此社区用户会被误导分享该IP为银狐IOC，但实际为白文件所请求的CDN IP：

该银狐IOC关联的相关样本均为一些仿冒软件安装包程序，诱饵文件中包含：Chrome，搜狗输入法，汽水音乐，Xshell等常见软件。

这是银狐木马常见的仿冒钓鱼网站并投递银狐木马的攻击手法，微步情报局建议用户在尝试下载软件时，在x社区查询下载网站是否为钓鱼网站：

同时在使用软件时，如对文件安全性存疑，推荐使用微步云沙箱进行检查后使用:

http://s.threatbook.com

相关恶意IOC

hc15.ime.hk

bb.kgdhjc.com

跳转微信打开

立即查看详情 →

漏洞概况

Vim是一款跨平台文本编辑器，其modeline功能允许在文件首尾行设置编辑器选项。

近日，Vim官方发布通告，修复了Vim 远程代码执行漏洞（CVE-2026-34714）。微步情报局已成功复现。经分析，该漏洞源于Vim处理tabpanel选项时存在两处安全缺陷：tabpanel选项可通过modeline设置表达式而无需验证；autocmd_add()函数缺少安全检查，可在沙箱内注册沙箱外执行的自动命令。（完整漏洞情报请查阅https://x.threatbook.com/v5/vul/XVE-2026-10680）

此漏洞无须用户权限，攻击者通过诱使受害者使用Vim打开恶意文件，便可以受害者权限执行任意命令。

需要注意的是，虽然此漏洞是安全研究员通过 Claude Code + Opus 4.6 使用一句Prompt便完成的漏洞挖掘，但目前来看 AI 产出的漏洞缺失一些关键的细节，以至于还不能直接用到漏洞管控。

以本漏洞为例，微步情报局在分析研究此漏洞的过程中发现：

1. Vim有不同的编译版本，通过--with-features参数控制，当编译参数为normal和tiny时，Vim不受该漏洞影响。例如，MacOS内置的Vim默认使用normal模式进行编译，不受此漏洞影响

2. 不同权限的用户对modeline的处理方式不同，例如使用ROOT权限使用Vim时，需要在Vim配置文件中显示配置set modeline，所以以ROOT权限使用Vim默认不受影响

3. 当前Vim通告（AI提交）声称影响版本为 < 9.2.0272。但结合代码与实测，正确范围应为：9.1.1391（tabpanel 是从 v9.1.1391 才引入） <= version < 9.2.0272

 AI挖洞已成现实，但企业日常面临的漏洞“可管控、可修复”的是一个慎重且严谨的场景，还无法完全依赖AI自动化落地，仍然依赖高质量漏洞情报来保证漏洞治理效果。

漏洞处置优先级(VPT)

综合处置优先级：中风险

基本信息	微步编号	XVE-2026-10680
	CVE编号	CVE-2026-34714
	漏洞类型	RCE
利用条件评估	利用漏洞的网络条件	远程
	是否需要绕过安全机制	否
	对被攻击系统的要求	确认启用tabpanel插件
	利用漏洞的权限要求	无须用户权限
	是否需要受害者配合	是
利用情报	POC是否公开	是
	已知利用行为	否

漏洞影响范围

产品名称	Vim | Vim
受影响版本	v9.1.1391 <= version < v9.2.0272
有无修复补丁	有

漏洞复现

1. 复现版本

2. 触发

vim poc.md

打开后会看到 :!id>/tmp/success 被执行提示，按回车，再输入 :q! 退出。

修复方案

官方修复方案

官方已发布漏洞通告，建议受影响的用户依据官方通告进行修复。

https://github.com/vim/vim/security/advisories/GHSA-2gmj-rpqf-pxvh

临时缓解措施

以下两种配置方式中任选一个即可：

• 禁用Modeline：在~/.vimrc中添加: set nomodeline

• 禁用Modeline表达式：在~/.vimrc中添加: set modelineexpr=0

微步产品支撑

微步漏洞情报于2026-03-30收录该漏洞。

微步下一代威胁情报平台NGTIP及X情报社区已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。

微步终端安全管理平台OneSEC已于2026-03-31支持检测，以下为信创操作系统平台的检出截图。

跳转微信打开

今日，Axios这个年下载量超36亿、JavaScript 生态最核心的依赖之一，在 npm 仓库遭遇供应链投毒。相关风险已传导至OpenClaw，在北京时间3月31日8:00-12:00期间正常安装使用OpenClaw时，会因上游依赖被污染而被动接触并感染恶意代码。

恶意版本1.14.1与0.30.4会自动下载并运行远控木马，影响操作系统包括Windows、Linux及macOS。建议大家立即排查sfrclak.com反连情况（反连即失陷），处置方案详见后文。

微步OneSEC EDR已经在安装OpenClaw的机器上，检测到恶意代码：

Windows检测结果

macOS检测结果

微步情报局研判认为，这次投毒的潜在影响面几乎包括所有HTTP 请求的Node.js和浏览器应用——从 React 前端到 CI/CD 工具，再到服务器端 API。目前，恶意软件包已被官方移除。

大致时间线（UTC）如下：

• 3月30日23:59:12：攻击者发布恶意依赖包plain-crypto-js@4.2.1

• 3月31日00:00左右：攻击者利用被盗的 Axios 维护者 npm 账号，绕过 GitHub Actions CI/CD，手动发布axios@1.14.1与axios@0.30.4

• 3月31日00:05:41：Socket.dev 自动化检测发现异常包plain-crypto-js

• 3月31日04:00:00：npm官方下架恶意npm包plain-crypto-js，axios@1.14.1与axios@0.30.4

事件分析

攻击者在3月30日注册了恶意域名：sfrclak.com

在30日晚发布了恶意的npm包plain-crypto-js@4.2.1，并使用盗取的Axios 维护者 npm 账号更新了Axios1.14.1和0.30.4这两个版本，并在这俩个版本的package.json中引入了恶意的npm包。

在恶意的npm包plain-crypto-js@4.2.1中，通过package.json引入了postinstall触发命令：

运行的setup.js是一个混淆的js代码：

该js文件的作用是检测运行的主机的平台，并根据运行平台从攻击者服务通过下载不同的后续载荷：

攻击者服务器URL地址：http://sfrclak.com:8000/6202033

云沙箱S、沙箱分析平台OneSandbox检测结果如下

目前后续载荷无法下载分析。

排查方案

排查恶意域名sfrclak.com反连情况

检查项目中是否有恶意的 Axios 版本：

检查node_modules中的恶意npm包：

如果已经运行，该目录内的存根将被替换为干净的存根。目录的存在足以证明加载器已执行。setup.jspackage.json检查受影响系统上的RAT伪影：

‍

临时处置建议

封禁域名：sfrclak.com/callnrwise.com

排查自身环境：Axios的版本是否为受影响的版本1.14.1或0.30.4

排查服务依赖中是否存在恶意npm包：plain-crypto-js@4.2.1

附录

另外，微步情报局在拓线分析过程中，发现以下IOC高度疑似攻击者持有资产，用户可根据业务情况提前进行封禁。

142.11.196.73

142.11.199.73

-END-

跳转微信打开

立即排查apifox.it.com的所有访问请求

近日国内流行的API协作平台Apifox发布公告，称遭遇供应链投毒。微步情报局研判发现，3月4日后，一旦请求域名apifox.it.com即已失陷，建议用户立即排查和做好应急处置，同时升级至最新版本，Windows、Linux以及macOS均受影响。（排查方法和处置建议详见后文）

图：Apifox官方公告

公告显示，Apifox CDN服务所托管的前端脚本文件被植入恶意代码，3月4日后启动应用有概率触发，收集主机敏感信息并下载、执行后续载荷。目前，apifox.it.com已无法访问，共持续18天。

2026年3月25日8点36分，在2libra论坛上有用户爆出知名API协作研发平台Apifox存在投毒攻击：

微步情报局分析投毒js文件可以看到远控IOC：apifox.it.com，其余四个IOC尚未在攻击者代码中看到，但建议封禁。

Apifox基于Electron框架开发，如果在不开始沙盒（Sandbox）且通过网络加载JavaScript资源，一旦发生劫持或投毒，攻击者的恶意脚本可直接在主机环境下运行，执行命令，窃取本地文件。

旧版（SaaS版2.8.19以前）Apifox应用启动后会从官方地址获取js资源（目前请求资源正常）：

通过Wayback Machine可以搜索到该js资源在3月5号的存档：

从该存档文件可以看到，攻击者在原本js文件末尾增加了一段高度混淆的代码：

而该恶意代码首先会加载node.js的crypto，os模块

通过该模块读取设备信息：网络接口/MAC、CPU、平台、主机名、用户名等。然后尝试读取本地的common.currentUserId获取使用用户的信息，如果不存在则通过读取common.accessToken 调Apifox的官方接口补充身份信息，攻击者使用该信息作为上传窃密信息的用户标记字段af_apifox_user，af_apifox_name：

收集完成信息后，恶意脚本会调用本地硬编码的PEM 私钥对信息加密上传：

上传地址被混淆加密：

解密后地址为：https://apifox.it.com/public/apifox-event.js，并对请求响应使用硬编码的PEM私钥解密执行：

整个过程会通过scheduleNext在30分钟到3个小时之间随机间隔不断触发：

解密加载的第二阶段载荷会进一步收集窃密主机信息：

包括不限于：history文件，ssh私钥，known_hosts文件

Apifox官方指出在2.8.19以及更高版本，本地客户端不再通过在线加载js资源，而内置打包：

OneSEC用户可查询历史日志中是否存在IOC域名反连来确定失陷范围：

建议同时根据安装Apifox的版本来确定要升级范围，对于低于2.8.19版本的机器进行及时升级。这些低版本机器未出现ioc反连，也建议做各类密码、token和key的轮换或者重置：

用户也可以通过禁止对apifox.it.com的访问进行临时阻断。

根据Apifox官方对该投毒事件的公告：关于 Apifox 外部 JS 文件受篡改的风险提示与升级公告 - Apifox 帮助文档。