npm Vite：7 个虚假插件通过区块链 C2 传播远控木马——种能抵御查封的 C2 技术

七个冒充 Vite 插件的虚假 npm 包向 JavaScript 开发者传递了远程访问木马（RAT）。前所未有的特点：其 C2 基础设施通过公共区块链运行——与传统服务器不同，当局无法将其屏蔽。

发现的内容

Checkmarx 的研究人员发现了七个恶意 npm 包，它们模仿 Vite（Evan You 的 JavaScript 构建框架）并发布在 npmjs.com 上。该活动被 Checkmarx 命名为 ViteVenom，是已知供应链攻击 ChainVeil 的扩展——该操作已采用先进的规避技术。这些包在项目中安装后，会静默向开发者的机器投递远程访问木马（RAT）。

区块链 C2 技术：为何这是新事物

该恶意软件的命令与控制（C2）基础设施不依赖传统服务器（其 IP 或域名可被封锁或没收）。它查询公共区块链以读取指令：攻击者发布带有编码命令的交易，恶意软件读取并执行。

为何难以中和。公共区块链是去中心化且不可篡改的。封锁传统 C2 域名是当局的标准操作。「封锁区块链」在互联网规模上技术上无法实现。此外，与未知域名的连接相比，向公共区块链发起的网络调用会引发更少的警报。

前端开发者应采取的措施

立即检查 Vite 依赖项。将自己的包与官方 Vite 插件列表（vitejs.dev/guide/api-plugin）进行对比。名称中仅一个字符不同即可。

在 CI/CD 中使用 npm ci 而非 npm install——强制使用 lock 文件并验证校验和。

Socket.dev：对 npm 包进行行为分析（超越已知 CVE）。有助于检测此类植入。

如发现被入侵则轮换令牌。若可疑包已在机器上执行：GitHub、npm、云服务商的所有令牌均需重新生成。

立即行动：在 Vite 项目中运行 npm audit。检查所有名称中含有「vite」但未明确添加的包。Checkmarx 的安全公告给出了七个恶意包的具体名称。将可疑包报告至 [email protected]。