timeago.js

NPM蠕虫在39分钟内感染637个包，目标是开发工具

一个复杂的蠕虫于2026年5月19日在39分钟内感染了637个npm包，影响了约1600万次每周下载。该恶意软件源自一个被攻陷的npm账户，不仅窃取了云环境和开发人员工具的凭证，还利用GitHub Actions获得了进一步的npm发布访问权限，实现了自我传播。值得注意的是，此次攻击通过在Claude Code和VS Code等工具中安装钩子来针对开发人员环境，并包含了一个“死亡开关”，用于在被盗令牌被撤销时删除用户文件。