背景

近期，axios npm包供应链投毒/OpenClaw投毒事件爆发，可能导致严重的安全风险。火山引擎安全团队迅速响应，为火山引擎客户提供全面可靠的缓解措施，建议企业立即排查处置。

事件描述

攻击者通过盗取axios包的维护者账户，在其v1.14.1版本的package.json文件中注入了一个恶意的脚本 plain-crypto-js。当用户安装axios或者openclaw更新等操作时,会触发恶意命令执行。执行后，会获取用户机器信息、目录信息、进程信息等，并会植入C2木马进行远程控制。

风险等级

严重

风险状态

截止2026年03月31日20:00:00（UTC+8）

风险细节	PoC状态	在野利用
已公开	已公开	已发现

影响范围

已经确认的恶意包为: axios@1.14.1 axios@0.30.4 plain-crypto-js@4.2.1

缓解措施

针对火山引擎客户，平台提供了全面可靠的安全解决方案，可按如下步骤排查处置：

一、全域自查：定位风险暴露面

使用云安全中心，排查定位存在axios npm包供应链投毒/OpenClaw投毒的资产，查看详细修复建议。

1. 登录云安全中心，购买高级版：https://console.volcengine.com/security-center/csc

2. 在风险管理-漏洞检测页面，单击立即扫描，扫描完成后搜索“axios”，查看是否存在投毒事件。若存在，可单击详情查看存在漏洞的资产，并按修复建议进行处理。

3. 在系统配置-安装卸载页面，确认所有主机已启用安全防护，实时检测axios投毒的恶意利用行为。同时，对后渗透行为进行持续检测，包括敏感文件读写、可疑代码执行、驻留与提权等。

二、预防加固：限制常规攻击杀伤链

使用云防火墙限制非授权的访问，仅允许内网或本地可信IP访问业务端口。

1. 开通并登录云防火墙：https://www.volcengine.com/product/cloudfirewall

2. 在防火墙开关页面，点击互联网边界防火墙，找到业务资产公网EIP地址，打开资产防护开关。

3. 选择访问控制 > 互联网边界。分别在入站规则和出站规则页签，单击添加策略。添加访问控制策略，仅允许可信IP访问资产业务端口。

4. 选择入侵防御 > 规则配置，开启基础防御和虚拟补丁安全防护，实时检测外部入侵和异常外联。