[业内新闻动态] [【转载】] Tensorlake npm 破用于传播 Shai-Hulud 凭证窃取蠕虫病毒

这波别只当成“又一个 npm 投毒”看，0.5.144 的麻烦在于安装阶段就可能执行代码：package/lib/setup.mjs 会拉起混淆加载器，再加载 Math_Symbol.js，目标包括本地文件、CI、Kubernetes 和 Vault，还会释放 HackBrowserData、建立持久化并执行远端下发的代码。npm 现在把版本下架，只能算止血，已经装过的环境并不会因此自动安全，单纯删掉依赖或清掉 node_modules 也不够。建议马上查 lockfile、CI 缓存和构建产物，搜 tensorlake、0.5.144、Math_Symbol.js、HackBrowserData，同时检查安装期间的异常进程和持久化痕迹。确认装过的主机先隔离并保留证据，优先从可信构建机重建，然后轮换 npm/CI、云平台、Kubernetes、Vault 等可能暴露的凭据，核对访问和发布记录；后续锁死已确认未受影响的版本，别只看包仓库有没有下架。