OpenSSF 标记 npm 包 @sudobility/indexer_client 0.0.146 含恶意代码

OpenSSF 恶意包库新增记录 MAL-2026-18127，指 npm 包 @sudobility/indexer_client 0.0.146 含恶意代码，并关联安全公告 GHSA-xfvr-39v2-q24q。 该库称，这个版本的 postinstall 钩子会执行 scripts/miner.sh，用 curl 从亚马逊 S3 预签名地址下载压缩载荷，解压到 /tmp/.smi 后运行；当以 root 运行或存在免密 sudo 时，还会以提权方式安装持久化 agent，脚本注释提及隐蔽改名、cron 及 tor/relay 组件。该库称，安装或运行过该包的计算机应视为已完全失陷。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。