慢雾：Keyv/Cacheable 生态遭大规模 npm 供应链攻击

吴说获悉，慢雾安全团队消息，MistEye 监测到 Keyv/Cacheable 生态遭遇大规模 npm 供应链攻击。攻击者在受影响生态系统中发布了超过 2,000 个恶意包版本。由于 Keyv 作为广泛使用的键值存储抽象库，周下载量约为 1.27 亿次，因此造成了巨大的下游供应链暴露风险。慢雾指出，此次攻击手法与此前观测到的 Shai-Hulud npm 蠕虫攻击活动高度相似，潜在危害包括凭据窃取、环境变量外泄、CI/CD 密钥泄露、远程载荷投递以及通过开发环境进行横向传播。安全团队应立即排查并移除受影响的包版本、升级至安全版本、审查依赖锁文件与构建日志，并在疑似受损时轮换凭据及重建开发环境。