每天听简报，了解最新科技、AI、软件资讯
一款叫mathmain的npm数学库，伪装成热门的mathjs库，代码里却藏着一个远程控制后门。 它平时按兵不动，只有有人用一个特定的三乘三帕斯卡矩阵去解方程时才会触发。 那次运算得到的下三角矩阵会被当成密码，解开藏起来的加密载荷。 载荷靠Slack聊天和区块链网络接收指令，每十秒轮询一次执行命令。 同一套加载器还出现在另外两个仿冒包里，最早八月二十七日就已发布，但GitHub仓库干净，后门只在npm发布包里被加了进去。 评论区有人猜测，这样设计是为了先把它混进热门项目的依赖链，等真正被触发时才拉响警报。
进度保存在本设备 · 登录同步