· adswds-team · 安全 · 1 min read
蓝点网：澳洲警方联合 FBI 逮捕 TeamPCP 两名核心成员（迷你沙虫）。蠕虫曾开源，执法预计同类攻击仍持续。广告前端应继续钉版本与令牌轮换。
据蓝点网报道，约 2026-08-26 澳洲警方联合 FBI 逮捕 TeamPCP 两名核心成员。该组织推动 npm 迷你沙虫蠕虫并曾开源恶意软件；成员分散匿名，落网未必让攻击立刻消失。
一句话：抓到人很重要；lockfile 不会自己变干净。
审计异常版本/postinstall；轮换 npm/CI/云令牌；禁止无锁安装。后续卧底细节见 TeamPCP 卧底文。
蓝点网转述谷歌威胁情报：Mandiant 分析师潜伏 TeamPCP 核心群 CanisterWorm，提前协助吊销凭证并协助执法。对依赖 npm 与广告技术栈的团队，重点不在故事本身，而在凭证与发布通道的止血顺序。
蓝点网报道：GitHub 为 npm Trusted Publishing 设置 48 小时内必须首次成功发布，阻断研究员发现的仓库名回收（SlugFest）风险；并拒绝 issue_comment 事件令牌。广告与落地前端的发布流水线应按此收紧。
蓝点网转述 Socket：108 款恶意扩展窃谷歌账号信息、劫持 Telegram、后门或注广告，共用 C2。投放终端应对照清单收敛扩展。
蓝点网曾紧急提醒 OpenClaw 受 Axios 供应链影响。凡能读邮件/控浏览器的 Agent，其 npm 依赖与 CI 等同生产权限。
