OpenSSF 记录两个植入挖矿脚本的 npm 包
先了解这件事
OpenSSF 恶意包库新增记录，指出 npm 包 @walknpm/[email protected] 相对 2.0.0 仅新增 postinstall 脚本 sh scripts/miner.sh，在 npm install 时执行。 该脚本在 root 或免密 sudo 权限下运行载体安装器 sh /tmp/.smi agent；否则把内置的 XMRig 二进制释放到 ~/.local/lib/<随机名>/，使用硬编码钱包通过 TLS 连接 networkservicesupp.flashhub.net:8443 挖门罗币。 同一 npm 账号 walknpm 在 2026-10-26 发布 [email protected]，与上述版本相隔 27 秒，内含相同的 scripts/miner.sh；OpenSSF 称该脚本与 @sudobility/testomniac_client（MAL-2026-18129）中的脚本逐字节相同。
AI 根据报道生成 · 2 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
- OpenSSF 恶意包库精选OpenSSF 恶意包库记录 npm 包 @walknpm/todo-cli 2.0.1 植入 XMRig 挖矿程序
OpenSSF 恶意包库新增记录 MAL-2026-18320，指出 npm 包 @walknpm/todo-cli 2.0.1 相对 2.0.0 仅新增 postinstall 脚本 sh scripts/miner.sh，安装即执行。
- OpenSSF 恶意包库精选OpenSSF 恶意包库新增 npm 包 @walknpm/todo-cli 与 dsh-plugin-blender-3d 的挖矿脚本
OpenSSF 恶意包库新增记录，npm 包 @walknpm/[email protected] 相比 2.0.0 只增加了 postinstall 脚本 sh scripts/miner.sh，在 npm install 时执行。
- OpenSSF 恶意包库OpenSSF 恶意包库为 @walknpm/todo-cli 与 dsh-plugin-blender-3d 分配 MAL 编号
OpenSSF 恶意包库更新为两个 npm 恶意包分配编号：@walknpm/todo-cli 2.0.1 获 MAL-2026-18320，dsh-plugin-blender-3d 0.2.1 获 MAL-2026-18321。两者均由 OpenSSF Package Analysis 项目识别，判定依据是包执行了与恶意行为相关的命令。
- OpenSSF 恶意包库OpenSSF 恶意包库更新：新增 npm 包 @walknpm/todo-cli 与 dsh-plugin-blender-3d 恶意记录
OpenSSF Package Analysis 将 npm 包 @walknpm/todo-cli 2.0.1 与 dsh-plugin-blender-3d 0.2.1 标记为恶意，理由是这些包执行了与恶意行为相关的命令。两条记录已写入 OpenSSF 恶意包库，发布时间为 2026-10-26。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。