近期，Solar应急响应团队在持续跟踪海外威胁情报过程中，关注到一起较为典型的安全事件。基于公开披露的信息，我们结合实际处置经验，对该事件进行了梳理与分析，供大家参考。
依托Solar安全运营响应团队的日常实战沉淀，我们持续分享在安全运营过程中处置或跟踪的典型安全事件，涵盖勒索病毒、APT攻击、木马入侵等主流威胁场景。作为专业的应急响应中心，我们不仅关注攻击本身，更注重还原完整攻击链路，并输出具备落地性的处置与加固方案。
一、 事件背景：供应链攻击的“升级版”
此次事件涉及npm生态中的供应链投毒攻击，被称为“CanisterWorm”。与以往常见的“拼写混淆（Typosquatting）”攻击不同，CanisterWorm不再依赖诱骗开发者下载恶意包，而是直接“鸠占鹊巢”，劫持已经获得信任的开发者账户。
受害范围涵盖了多个知名命名空间，如 @emilgroup 和 @teale.io 等。攻击者通过劫持这些合法的发布者账户，植入恶意的SDK版本，导致下游用户在不知情的情况下引入后门。从我们的应急响应经验来看，这种攻击极具隐蔽性，因为它利用了开发者对“受信任包”的天然防备心理，一旦发布者账号失守，整个供应链即刻沦陷。
二、 攻击组织画像：TeamPCP
该攻击行动被追踪溯源至名为“TeamPCP”的黑客团伙。
- 组织背景： 这是一个高度自动化、以供应链为目标的攻击团伙，近期在开源生态系统（特别是npm）中活动频繁。
- 攻击风格： 与传统勒索组织不同，TeamPCP更倾向于“技术流”渗透。他们不满足于简单的投毒，而是开发了完整的自动化工具链，能够在获取权限后的极短时间内，遍历并篡改受害者账户下的所有包。
- 关键特征： 擅长窃取CI/CD环境或本地开发环境中的凭据，具有极强的“蠕虫化”特征——即通过受害者的账户权限自动分发恶意代码，实现滚雪球式的传播效应。
三、 深度解析：CanisterWorm攻击链分析
从应急响应的角度来看，CanisterWorm的攻击链路设计得非常紧凑且具有杀伤力：
初始入侵与令牌窃取： 攻击者首先通过钓鱼、漏洞利用等方式获取开发者的终端权限，随后重点搜刮本地的
.npmrc文件、环境变量（如NPM_TOKEN）以及执行npm config get命令，最大限度地获取发布权限令牌。植入恶意逻辑： 一旦获得合法发布令牌，攻击者不会直接删除原包，而是利用
postinstall钩子（hook）注入恶意代码。这是一个非常经典的“低成本、高回报”技巧：只要开发者执行npm install，恶意代码就会自动触发，无需额外的执行步骤，极大地增加了隐蔽性。持久化维持： 在Linux环境下，该恶意脚本会安装一个名为
pgmon的systemd服务（路径位于~/.config/systemd/user/pgmon.service）。该服务配置为自动重启，且运行在隐藏目录下，确保攻击者即使在node_modules被删除后，依然能保持对受害者机器的长期控制。蠕虫式传播（关键环节）： 这是该攻击最危险的部分。恶意脚本内置了一个
deploy.js，它利用窃取的令牌调用npm Registry API，遍历受害者名下的所有包，自动提升版本号并重新发布。这一过程在秒级完成，导致受害者账户下的所有项目瞬间变为恶意版本。C2通信： 攻击者使用了互联网计算机协议（ICP）的 canister 端点作为通信通道。这种方式类似于“死信箱（dead-drop）”，恶意程序定期轮询该地址获取下一阶段的攻击指令（如获取第二阶段二进制文件的URL）。由于利用了合法的ICP服务，传统的网络流量监测往往难以识别。
四、 Solar视角判断与实战建议
在过往的应急响应案例中，我们发现很多企业在npm供应链防护上存在盲区，尤其是对开发人员终端权限的管理。
1. 这一阶段往往是很多企业容易失守的环节：
很多开发团队为了CI/CD的便利，会将高权限的 NPM_TOKEN 直接写在配置文件或环境变量中，且缺乏定期轮换机制。一旦开发终端被入侵，这些令牌就成了攻击者手中的“万能钥匙”。
2. 防御建议：
- 即刻排查与清理： 若贵司使用了上述受影响的包，请立即停止使用，并强制重置所有相关的npm发布令牌和CI/CD密钥。
- 清除持久化后门： 在受影响的Linux开发机上，务必检查并清理
~/.config/systemd/user/pgmon.service及相关目录，确保残留后门被彻底清除。 - 收紧权限： 建议通过
npm config set ignore-scripts true全局禁用生命周期脚本（如需运行，可使用@lavamoat/allow-scripts等工具进行细粒度控制），从源头上切断postinstall钩子的执行路径。 - 强化依赖管理： 引入依赖审查机制（如JFrog Curation等），不要盲目信任所有来自公共仓库的更新，特别是对于涉及核心业务的SDK。
类似CanisterWorm这种自动化、蠕虫化的供应链攻击，未来只会越来越多。企业安全建设的重心，必须从“边界防御”向“开发全生命周期安全”前移。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com