OpenSSF 恶意包库新增 5 个 npm 恶意包，含仿冒 Anthropic 域名窃取 API 密钥
OpenSSF 恶意包库通过 Ingest OSV 提交新增 5 个 npm 恶意包记录，均由 Amazon Inspector 发现。
为什么值得看：这批 npm 恶意包覆盖安装期远程拉取、仿冒 Anthropic 域名窃取密钥与 GYP 命令扩展执行三类手法，可对照排查自有依赖。
#其他
OpenSSF 恶意包库精选AI 评分5858 OpenSSF 恶意包库精选AI 评分5858 OpenSSF 恶意包库记录 npm 包 event-emitter-testmetest 多个版本投递窃密载荷
OpenSSF 恶意包库新增记录，npm 账号 testnewtestme2 于 2026-10-21 发布的 event-emitter-testmetest 1.0.6、1.0.7、4.1.0、5.0.0 携带恶意代码，CWE-506。
为什么值得看：记录给出了恶意 npm 包的版本、隐藏安装钩子与各版本载荷差异，便于开发者比对依赖与文件哈希。
OpenSSF 恶意包库精选AI 评分5858 OpenSSF 恶意包库为 @sudobility 系列 npm 包与 iterquarry 分配 MAL 编号
OpenSSF 恶意包库提交为多个恶意包分配 MAL 编号，包括 npm 上的 @sudobility/indexer_client 0.0.146、@sudobility/shaperouter_client 0.0.14、@sudobility/testomniac_client 0.0.131、@sudobility/wildduck_client 2.3.102。
为什么值得看：提交记录显示 @sudobility 系列 npm 包在 postinstall 中投放 XMRig 挖矿程序，并列出 S3 下载地址与矿池域名等 IOC。
已经到底了