OpenSSF收录npm依赖混淆信标包

OpenSSF 恶意包库将 npm 包 @ecg-internal/adobe-dmp-js 的 1.0.1、2.0.0、2.0.1、99.0.1 四个版本标记为恶意（CWE-506），该标记由 Amazon Inspector 推送，记录编号 MAL-2026-18206，后续补录别名 GHSA-vcj4-3hxm-4rf3。 该包使用仿内部命名空间的 @ecg-internal 作用域，实际只含一个最小桩模块：beacon.cjs 的 fire() 通过明文 HTTP 将包含 os.hostname()、__dirname、process.cwd()、Node 版本和包名的 JSON POST 到硬编码裸 IP 端点 http://185.158.107.175:8787/_ah/dc。fire() 同时由 postinstall 脚本和主模块顶层加载路径调用，因此安装和 require 都会触发信标。 OpenSSF 称，内部作用域名称、静默成功的 Proxy 外壳，加上安装时与导入时向无关裸 IP 端点发送信标，是依赖混淆攻击识别受害者的典型模式，并称任何安装或运行该包的计算机都应视为已完全失陷。

AI 根据报道生成 · 34 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。