1、XORIndex：朝鲜不断发展的供应链恶意软件再次瞄准 npm 生态系统

威胁研究团队揭示了一波由朝鲜支持的黑客发起的持续性恶意活动，采用名为 XORIndex 的隐藏软件加载程序，通过 npm注册表渗透软件供应链。此次攻势在2025年6月至7月期间，上传了67个恶意npm包，其中28个包含XORIndex，27个仍然有效，累计下载量超过17,000次。这些攻击目标包括开发人员、求职者及拥有加密资产或敏感凭证的个人，呈现出持续演变的威胁态势。

参考链接：
372K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6K6k6h3y4#2M7X3W2@1P5h3!0F1L8r3W2F1k6g2)9J5k6h3W2F1k6X3!0Q4x3V1k6^5L8%4u0A6L8X3c8W2P5q4)9J5k6r3&6G2M7Y4c8Z5i4K6u0V1K9$3!0J5k6h3q4K6i4K6u0V1k6i4k6G2L8s2k6A6L8X3N6Q4x3X3c8K6N6i4m8H3L8s2W2Q4x3X3c8U0K9r3q4A6L8W2)9J5k6r3#2S2L8s2N6S2M7X3g2Q4x3X3c8@1j5i4u0Y4k6i4c8K6i4K6u0V1L8Y4m8E0i4K6u0V1k6h3y4G2M7%4W2K6N6r3g2E0i4K6u0V1j5h3N6S2K9h3&6Q4x3V1j5`.

2、非常规威胁源：Git代码库的安全隐患

虽然网络钓鱼和勒索软件常常成为头条新闻，但还有一个被忽视的重要风险：企业中的Git存储库可能泄露敏感数据，暗中为攻击者创造“影子访问”的机会。每天开发人员在提交代码时，可能会无意中留下API密钥、令牌或密码，这些信息一旦泄露，攻击者就能轻松入侵核心系统。这不仅仅是管理不善的问题，更是一个逐渐扩大的供应链安全隐患。随着网络威胁变得越来越复杂，各种安全和合规标准（如NIS2、SOC2和ISO 27001）也要求企业加强软件交付过程中的安全控制。保护Git存储库的安全，已成为企业不可或缺的关键措施。

参考链接：
a35K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6@1K9r3g2Z5j5h3y4C8k6i4u0F1k6i4N6K6i4K6u0W2j5$3!0E0i4K6u0r3x3U0l9J5y4g2)9J5c8U0l9%4i4K6u0r3N6r3S2W2i4K6u0V1N6h3&6#2M7%4g2S2L8q4)9J5k6s2y4#2M7%4m8W2j5%4c8Q4x3X3c8Y4K9i4c8Q4x3X3c8J5k6i4m8G2M7#2)9J5k6h3S2@1L8h3H3`.

3、3500 个网站被劫持，使用隐形 JavaScript 和 WebSocket 策略秘密挖掘加密货币

全球超过3500个网站被劫持，攻击者利用混淆的JavaScript代码和WebSocket技术，秘密地在用户设备上进行加密货币挖矿。这些恶意程序设计得极为隐蔽，旨在隐藏挖矿活动，避免被发现，从而持续获取数字货币。该团伙还复用基础设施进行信用卡盗刷，并利用供应链攻击植入后门，展现多样化攻击手段。

参考链接：
fa8K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6@1K9r3g2Z5j5h3y4C8k6i4u0F1k6i4N6K6i4K6u0W2j5$3!0E0i4K6u0r3x3U0l9J5y4g2)9J5c8U0l9%4i4K6u0r3x3K6f1H3x3q4)9J5k6s2N6W2j5Y4y4A6N6r3g2K6i4K6u0V1K9r3W2B7j5h3y4C8k6h3c8Q4x3X3c8@1L8#2)9J5k6s2y4W2j5%4u0W2N6r3I4&6i4K6u0V1L8h3W2F1k6g2)9J5k6h3S2@1L8h3H3`.

4、Scavenger 恶意软件劫持流行的 npm 包来攻击开发人员

近日，一场复杂的供应链攻击针对JavaScript开发者，黑客破坏了多个流行的npm软件包，散布名为“Scavenger”的恶意软件。攻击通过网络钓鱼入侵维护者账户，篡改多个版本，尽管GitHub仓库未显示变更。此次攻击标志着供应链威胁的升级，目标不仅限于信息窃取，还包括对基于Chromium的浏览器及其缓存的数据进行攻击，旨在窃取开发凭据、会话和浏览信息，显示出攻击者对开发人员敏感数据的高度兴趣。

参考链接：
6c1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0P5h3u0W2M7Y4y4W2j5%4g2J5K9i4c8&6L8X3g2%4M7#2)9J5k6h3y4G2L8g2)9J5c8Y4y4U0j5i4k6W2L8X3N6W2M7W2)9J5k6r3#2S2L8s2N6S2M7X3g2Q4x3X3c8Z5K9h3A6S2j5$3E0K6i4K6u0V1M7r3!0H3N6h3I4S2M7W2)9J5k6r3&6H3L8g2)9J5k6s2m8S2j5$3E0S2k6$3g2K6i4K6u0r3

[培训]Windows内核深度攻防：从Hook技术到Rootkit实战！