16:03IT之家(博客/媒体)精选网络安全公司Socket发现黑客利用Postinstall自动安装脚本发起供应链攻击,已污染超过700个GitHub公开代码库。攻击者修改上游仓库的package.json脚本,当开发者安装依赖时自动下载恶意木马并保存为/tmp/.sshd文件伪装SSH进程。Socket建议开发者避免直接信任第三方依赖包,定期检查Composer包管理工具配置并审计自动执行脚本。行业SocketGitHubPostinstall供应链攻击自动安装脚本推荐理由:小心Postinstall脚本投毒原文