1.1 事件时间线#

1.2 为什么这个事件很重要？#

与传统的病毒传播不同，此次攻击属于典型的供应链攻击。攻击者并未直接攻击用户，而是选择入侵 Apifox 的官方软件分发渠道，在用户毫不知情的情况下，将恶意代码”合法”地分发到受害者的电脑中。

开发者的电脑中存储着通往企业核心资产的”钥匙”：

• SSH 私钥 → 直接登录生产服务器
• Git Token → 访问和修改代码仓库
• 云服务 Access Key → 控制云基础设施
• 数据库密码 → 访问敏感数据

一把泄露的密钥，可能导致整个企业内网被渗透。

2.1 攻击环境：Electron 框架的安全缺陷#

Apifox 桌面客户端基于 Electron 框架开发，存在以下安全问题：

核心漏洞点：由于未严格启用沙盒（Sandbox），通过网络加载的恶意 JS 代码获得了本地 Node.js 环境的完整权限，可以直接读写本地文件系统和执行系统命令。

2.2 投毒机制#

1
URL: https://cdn.apifox.com/www/assets/js/apifox-app-event-tracking.min.js
2
正常大小: 约 34KB
3
恶意大小: 约 77KB

1
cdn.apifox.com → CNAME → qiniudns.com（七牛云 CDN）

2.3 恶意域名#

攻击者注册了极具迷惑性的域名：

1
apifox.it.com

这个域名模仿了官方域名格式，旨在绕过用户和部分安全软件的警惕。

3.1 攻击流程图#

graph TD
    A[用户启动 Apifox 客户端] --> B[加载 CDN JS 文件]
    B --> C{文件是否被投毒?}
    C -->|是| D[执行恶意代码]
    C -->|否| E[正常运行]
    D --> F[收集主机信息]
    F --> G[生成主机指纹 SHA-256]
    G --> H[连接 C2 服务器 apifox.it.com]
    H --> I[下载第二阶段载荷]
    I --> J[RSA 解密载荷]
    J --> K[eval 执行恶意代码]
    K --> L[窃取敏感文件]
    L --> M[AES-256-GCM 加密数据]
    M --> N[回传到攻击者服务器]
    N --> O[30分钟-3小时后重复]

3.2 攻击阶段详解#

3.3 通信特征#

• 低频 Beacon：30分钟到3小时之间随机间隔
• 加密通信：使用 RSA-2048 加密载荷
• 隐蔽传输：自定义请求头，伪装正常流量

4.1 受影响的版本#

• 受影响版本：Apifox SaaS 版桌面客户端 2.8.19 以下版本
• 受影响平台：Windows、macOS、Linux 全平台
• 受影响时间：2026年3月4日至3月22日

4.2 不受影响的版本#

• Web 版（浏览器访问）
• 私有化部署版
• v2.8.19 及以上版本

4.3 为什么开发者是高危目标？#

攻击者的目标并非个人电脑中的照片或文档，而是开发者手中通往企业核心资产的”钥匙”：

1
开发者电脑 → SSH密钥 → 生产服务器
2
           → Git Token → 代码仓库
3
           → 云密钥 → 云基础设施
4
           → 数据库密码 → 敏感数据

开发者的电脑因此成为了攻击者横向移动、渗透企业内网的绝佳跳板。

5.1 Windows 用户#

打开 PowerShell（管理员），执行：

1
Select-String -Path "$env:APPDATA\apifox\Local Storage\leveldb\*" -Pattern "rl_mc","rl_headers" -List | Select-Object Path

5.2 macOS 用户#

打开终端，执行：

1
grep -arlE "rl_mc|rl_headers" ~/Library/Application\ Support/apifox/Local\ Storage/leveldb

5.3 Linux 用户#

打开终端，执行：

1
grep -arlE "rl_mc|rl_headers" ~/.config/apifox/Local\ Storage/leveldb

5.4 结果判断#

• 有输出具体文件 → 已中招，需要立即采取补救措施
• 无输出 → 可能未被感染，但仍建议执行防护措施

注意：由于被检查的文件为缓存文件，存在假阴性可能。如果在攻击窗口期（3月4日-22日）曾使用过 Apifox 桌面客户端，有极大概率已遭到攻击。

6.1 立即升级客户端#

这是阻断攻击最直接有效的方法。

1
修复版本：v2.8.19 及以上
2
修复方式：废除在线动态加载 JS，改为本地内置打包

6.2 全面轮换敏感凭证#

这是处置措施中最关键的一步。你必须假设所有在受影响设备上存储过的凭证均已泄露。

1
# 备份旧密钥
2
mv ~/.ssh/id_rsa ~/.ssh/id_rsa.old
3
mv ~/.ssh/id_rsa.pub ~/.ssh/id_rsa.pub.old
4

5
# 生成新密钥
6
ssh-keygen -t ed25519 -C "your_email@example.com"
7

8
# 将新公钥部署到服务器
9
ssh-copy-id user@server

6.3 网络层面封禁#

在网络层面封禁以下可疑域名：

1
apifox.it.com
2
cdn.openroute.dev
3
upgrade.feishu.it.com
4
system.toshinkyo.or.jp
5
ns.feishu.it.com

6.4 检查服务器日志#

审查服务器登录日志，检查是否有异常 SSH 登录：

1
# 查看最近的 SSH 登录记录
2
last -a | head -20
3

4
# 查看认证日志
5
grep "Accepted" /var/log/auth.log | tail -20

7.1 供应链攻击的特点#

1. 隐蔽性强：恶意代码混淆加密，难以察觉
2. 自动执行：客户端启动即触发，无需用户交互
3. 概率性触发：并非每次请求都返回恶意版本
4. 精准定向：明确针对开发人员的高价值资产
5. 高权限运行：利用框架漏洞获取系统级权限

7.2 开发者安全最佳实践#

7.3 Electron 应用开发建议#

如果你是 Electron 应用开发者，请注意：

1
// ✅ 启用沙盒
2
const win = new BrowserWindow({
3
  webPreferences: {
4
    sandbox: true,
5
    contextIsolation: true,
6
    nodeIntegration: false,
7
    preload: path.join(__dirname, 'preload.js')
8
  }
9
});
10

11
// ❌ 避免这样做
12
const win = new BrowserWindow({
13
  webPreferences: {
14
    nodeIntegration: true,
15
    contextIsolation: false
16
  }
17
});

• 启用 sandbox 和 contextIsolation
• 禁用 nodeIntegration
• 使用 preload 脚本安全地暴露必要 API
• 避免从网络动态加载可执行代码
• 实施内容安全策略（CSP）