主流 JavaScript 软件包管理平台 npm 遭供应链投毒攻击
📝 摘要
npm 遭「沙虫」供应链投毒攻击，攻击者攻陷官方维护者账户，批量投放恶意软件包，涉及 300 余个独立程序包的 600 余个恶意版本，影响 echarts-for-react、@antv 系列、TanStack 系列等多个热门项目。恶意代码会窃取 GitHub Token、云服务密钥等敏感信息，并具备蠕虫式自我复制与横向传播能力，可篡改二次发布开发者名下其他软件包。处置建议包括隔离风险设备、排查依赖文件、清理残留痕迹、更换敏感凭证及提升安全意识。
✍️ 编辑摘要
这条资讯的核心议题是“主流 JavaScript 软件包管理平台 npm 遭供应链投毒攻击”。
从当前聚合摘要看，最值得先关注的是：npm 遭「沙虫」供应链投毒攻击，攻击者攻陷官方维护者账户，批量投放恶意软件包，涉及 300 余个独立程序包的 600 余个恶意版本，影响 echarts-for-react、@antv 系列、TanStack 系列等多个热门项目；恶意代码会窃取 GitHub Token、云服务密钥等敏感信息，并具备蠕虫式自我复制与横向传播能力，可篡改二次发布开发者名下其他软件包。
目前已有 3 个来源跟进，说明该话题已经具备持续传播信号。
如果你只看一遍，这条新闻与后续判断最相关的点是：该话题已被 3 个来源提及，说明它不只是单点噪声，更可能是正在扩散的行业事件。
📌 关键信息
- npm 遭「沙虫」供应链投毒攻击，攻击者攻陷官方维护者账户，批量投放恶意软件包，涉及 300 余个独立程序包的 600 余个恶意版本，影响 echarts-for-react、@antv 系列、TanStack 系列等多个热门项目
- 恶意代码会窃取 GitHub Token、云服务密钥等敏感信息，并具备蠕虫式自我复制与横向传播能力，可篡改二次发布开发者名下其他软件包
- 处置建议包括隔离风险设备、排查依赖文件、清理残留痕迹、更换敏感凭证及提升安全意识
🔎 来源对比
- 当前聚合到 4 条来源记录，覆盖 3 个站点。
- 已覆盖来源：网易科技、IT 之家、快科技。
- 不同来源的标题表述存在差异，适合交叉查看以确认各自强调的重点。