开源无国界？vue-cli、node-ipc被投毒事件分析

简述

近日我们监测到 Vue.js 生态中的 vue-cli 包遭遇供应链投毒，而被投毒的 node-ipc 包在 npm 上每周下载量超百万，影响非常广泛。

被投毒的情况如下：

• vue-cli是Vue.js 开发的标准工具，该工具被广泛应用于vue的快速开发
• 其依赖的node-ipc是用于本地和远程进程间通信的一个js模块，也用于支持linux，windows，mac等系统中的socket通信。
• node-ipc包的作者近期在node-ipc的10.1.1-10.1.2版本添加了恶意JS，该JS会修改俄罗斯和白俄罗斯用户的所有文件为❤️，但不到24小时后又删除该恶意JS，添加会在用户桌面创建反战宣传标语的peacenotwar模块。vuejs的团队在发现node-ipc添加了peacenotwar模块后锁定了vue-cli依赖的node-ipc版本为9.2.1，研究人员随后又发现node-ipc的作者此前添加的恶意JS存在于node-ipc旧版本中。

  

 （问题组件每周下载量截图）

事件时间线

3月7号

开发者RIAEvangelist在node-ipc包中添加名为ssl-geospec.js的恶意JS文件，将node-ipc的版本号更新为10.1.1

3月8号

删除ssl-geospec.js该文件，版本号更新为10.1.3