기술 애호가 주간(제 392호): axios 독성 공격과 호리우드식 속임수 - 원일봉의 네트워크 일기

주간 공유할 가치 있는 기술 콘텐츠를 기록하며, 금요일에 발행합니다.

이 잡지는 오픈소스이며, 기고를 환영합니다. . 또한 《누가 채용하나요》서비스가 있으며, 프로그래머 채용 정보를 게시합니다. 협력은 이메일로 연락해 주십시오 （[email protected]）。

표지 이미지

올해 도입될 텐센트 본사 캠퍼스, 애칭 '펭귄섬'으로, 사무실뿐만 아니라 여러 아파트 건물도 포함됩니다.바이아）

axios 독살과 호리톨로지적 속임수

지난 주, 유명 소프트웨어 라이브러리 axios가독살해커는 발행 토큰을 획득했고, 직접 새로운 버전을 발행했는데, 그 안에 트로이 목마가 포함되어 있었습니다.

소프트웨어 독이 새로운 일은 아니지만, 새로운 것은 토큰을 어떻게 유출했는지에 대한 릴리스다. 배경 이야기는 전형적인 호러우드 영화와 같아서, 전혀 방어할 수 없다.

axios는 가장 널리 사용되는 JS 소프트웨어 라이브러리 중 하나로, 주간 다운로드 수가 1억에 가깝기 때문에 이번 침입은 매우 큰 영향을 미쳤습니다.

그리고, 바이러스의 악성도가 매우 높습니다.공식 삭제 설명, 만약 독에 중독된다면컴퓨터에 있는 모든 키, 토큰, 자격 증명을 무효화해야 합니다. 이 웹마약은 모든 디렉토리를 스캔하여 키를 수집한 다음 전송합니다

. 모두 알아야 합니다, axios와 같은 매우 인기 있는 소프트웨어 라이브러리는 각 단계에 완전한 보호가 있으며, 각 줄의 코드가 엄격하게 검토됩니다. 이번 공격은 완벽하게 계획된 사회공학적 공격이며, 이러한 보호를 모두 무너뜨렸습니다

. 공격 대상은 주임 유지자 Jason Saayman이었습니다. 본인은, 사건의 과정은 다음과 같다고 밝혔습니다

. 그들은 제 상황에 맞게 이 과정을 맞춤 제작했으며, 구체적인 방법은 다음과 같습니다

. 그들은 특정 회사의 창립자를 가장하여 제게 연락했으며, 회사 창립자의 외모를 모방한 것 외에도 회사 자체를 모방했습니다.

그들은 이어서 나를 진짜 Slack 워크스페이스에 초대했습니다. 이 워크스페이스는 해당 회사의 브랜드 식별자를 사용했고, 이름도 매우 신뢰할 만합니다. Slack 워크스페이스는 매우 정교하게 디자인되어 있었는데, LinkedIn 게시물을 공유하기 위한 전용 채널이 마련되어 있었습니다. 저는 이 LinkedIn 게시물들이 결국 해당 회사의 실제 계정에 게시될 것이라고 추측했고, 전체적으로 매우 현실적인 효과를 낸 것 같습니다. 그들은 또한 저가 해당 회사의 팀 구성원이자 다른 오픈 소스 소프트웨어 유지보수자로 추측되는 가짜 계정을 생성한 것 같기도 합니다.

그들은 나와의 만남을 잡아주어 소통을 목적으로 했습니다. 회의는 마이크로소프트 팀즈에서 진행되었습니다. 참석자는 보이기에 한 무리가 있었습니다.

회의에서는 제 시스템의 일부가 오래되었다는 점을 지적했습니다. 저는 이것이 팀즈와 관련되어 있다고 생각하여 부족한 구성 요소를 설치했지만, 결국 원격 트로이 목마(RAT)였습니다.

모든 것이 매우 체계적으로 계획되어 있었고, 매우 공식적이며, 일하는 방식도 매우 전문적이었습니다.

이 공격은 대본이 있는 것처럼 보이며, 각 단계가 모두 계획되었고, 충분한 준비와 연습이 이루어졌음을 알 수 있습니다.는 완전히 당신을 위해 맞춤 제작되었습니다，당신이 함정에 빠지기를 기다리는 것입니다

사기꾼들은 매우 인내심이 많으며, 막대한 초기 비용을 투자했습니다. 먼저, 특정 회사의 창립자를 가장하여 당신에게 연락하며, 신뢰도를 높이기 위해 가짜 회사 웹사이트까지 만들었습니다. 그 다음, 당신을 그들의 Slack 워크스페이스에 초대하며, 다양한 논의, 프로젝트 문서, 홍보 자료가 포함된 것처럼 진짜처럼 보이게 합니다. 가장 놀라운 것은, 당신이 Teams 소프트웨어에서 회사의 비디오 회의에 참여하게 하고, 그들이 함정에 빠진 사람들을 직접 모습을 드러내어 당신과 함께 회의를 합니다. 회의가 시작되지 않은 지 오래, 주최자가 갑자기 말했습니다: "이상하네, 당신의 시스템이 우리와 다르네. 마이크로소프트 플러그인이 오래되었나? 최신 버전을 보내줄게." 그렇게 당신은 전달된 설치 패키지를 받았고, 다른 참석자들이 당신을 기다리고 있으니 더 이상 생각하지 않고 바로 두 번 클릭하여 실행했습니다. 아, 이렇게 걸렸네, 발행된 토큰이 한 초 만에 유출되었습니다

이 정도의 가짜를 만들다니, 감탄스럽습니다.

이를 보며 어제 내가 본 한 뉴스를 떠올렸다인도 뉴스, 가짜를 만드는 정도는 더 이상 그보다 못하며, 헐리우드 영화처럼도 같습니다.

올해 크리스마스에 인도 신델리의 77세 할머니가 "경찰서"로부터 WhatsApp 비디오 통화를 받았습니다. 비디오 우측 하단에는 손짓 통역도 있었습니다.

경찰이 그녀에게 은행에서 그녀의 계좌에 자금세탁 기록이 발견되어 조사를 진행해야 한다고 말했고, 협조하지 않으면 계좌 자금이 몰수될 것이라고 경고했다. 또한 그녀에게 원격으로 법원 조사 청문회에 참석하도록 통지했다.

미디어가 나중에 "경찰서"의 배경 사진을 공개했는데, 보시다시피 매우 사실적입니다.

첫 번째 세 장의 사진은 인도 경찰서이고, 마지막 사진은 파키스탄 경찰서입니다. 두 건물이 맞닿아 있고, 방이 서로 인접해 있습니다. 두 나라가 현실에서는 대립하지만, 이는 사기꾼이 양쪽 모두를 속이는 것을 방해하지 않습니다.

사건 자체로 돌아가서, 며칠 후 할머니는 온라인 청문회에 참석했는데, 법원에서 열렸고 '법관'이 직접 진행했습니다. 그녀는 자금 기록을 살폈고 '경찰'의 증언을 들었으며, 할머니에게 몇 가지 질문을 했습니다.

마지막으로 '법관'은 할머니에게 당국이 그녀의 모든 자산이 법적이지 않은지 확인해야 한다고 말했습니다. 그녀는 매일 경찰서와 연결하고 질문에 답해야 하며, 조사가 끝날 때까지 계속해야 합니다.

이제 이 사건의 가장 흥미로운 부분입니다. 16일 동안 할머니는 매일 카메라를 켜 연결했는데, 모두가 사기꾼들이 어떤 수준까지 오갔는지 봅시다.

이 16일 동안 할머니는 가짜 경찰서에서 근무하는 경관들에게 점점 좋아하게 되었습니다. 그녀는 그들을 자신의 아이들로 부르기 시작했고, 경관들도 그녀를 '어머니'라고 부르기 시작했습니다.

밤에는 그녀가 가장 젊은 장교와 함께 인도교 종교 경전을 읽었는데, 이 장교는 그녀가 특히 감동받는 구절을 그에게 보내달라고 요청했습니다.

"그들은 가족처럼 느껴졌어요," 할머니는 회상하며 말했습니다. "그들은 말했습니다, '부인, 우리는 빨리 일을 해결하고 싶습니다. 우리는 밤낮으로 당신을 위해 일하고 있습니다.'"

와아, 사기꾼은 오전부터 저녁까지 16일간 연기했는데, 할머니와 어깨를 나란히 하며 고전을 읽고, 삶의 질문을 묻고, 밤새까지 이어졌다. 이게 영화로 만들어졌더라면 얼마나 감동적이겠어.

할머니는 전혀 의심하지 않았고, 마음껏 자신의 투자를 팔아버렸고, 가짜 경찰서 계좌로 총 160만 달러를 9번이나 전송했다.

다음 날, 그녀는 "경찰서 아이들"과 연결하려 했지만 연결되지 않았다.

위의 두 사례를 통해 보면, 현재 인터넷 사기가 어떤 수준까지 진행될 수 있는지 알 수 있으며, 완전히 정밀하게 전달된 '극단'이며, 성공률이 매우 높다. AI의 보조를 더한다면, 진짜와 가짜를 구별하는 것은 거의 불가능할 것이다.

웹 개발에는 하나의 규칙이 있는데: 클라이언트의 각 요청은 신뢰할 수 없으며, 악의적인 요청으로 가정해야 한다. 앞으로 현실생활에서도 그럴 것이다: 모든 낯선 사람은 신뢰할 수 없으며, 악의적인 사기로 가정해야 한다.

계산 능력은 여전히 부족하다

최근에 일어난 세 가지 사건은 계산 능력이 현재 여전히 매우 긴장되어 있다는 것을 보여준다.

첫 번째 일은 OpenAI입니다닫기비디오 생성 서비스 Sora에 대한 주된 이유는 계산 능력이 부족하며, 회사는 계산 자원을 핵심 사업에 사용해야 한다는 것입니다.

두 번째 사안, Anthropic 회사는 월간 패키지를 제3자 서비스(예: OpenClaw, OpenCode 등)에 사용하는 것을 공식적으로 금지했습니다.

이유는 월간 패키지를 충분히 사용하면 소모되는 컴퓨팅 자원이 패키지 비용을 훨씬 초과하기 때문입니다. 회사의 컴퓨팅 자원은 매우 귀중하며, 자사 제품(예: Claude Code)을 우선적으로 보장해야 하며 외부 제품이 데이터 센터 부담을 가중시켜서는 안 됩니다.

세 번째 일은 있다기사GitHub는 올해 첫 세 달 동안의 코드 제출량이 작년 동기 대비 14배에 달합니다!

의 이유는 AI 프로그래밍의 급증이 명백합니다. 작년 초에는 Claude Code가 없었습니다. GitHub의 자원은 이러한 증가를 감당하기에 전혀 부족하여 가 지속적으로 고장을 일으키고 있습니다 .

그림 위에 표시된 것처럼, GitHub의 지난 세 달 동안의 정상 운영 시간은 89.47%에 불과하며, 합격 기준은 99.99%여야 합니다.

이 세 가지 사건은 주요 AI 서비스 회사들이 모두 컴퓨팅 자원이 매우 부족하며, 하드웨어가 여전히 부족하다는 것을 보여줍니다.

이는 하드웨어 가격이 폭증한 것이 아직 끝나지 않았으며, 계속해서 올라갈 것임을 의미하며, GitHub는 무료 서비스를 강화하고 전면적으로 유료 전환할 가능성이 높습니다.

프론트엔드는 반복적인 노동인가요?

저는 개발자가 라고 말하는 것을 보았습니다는, 프론트엔드는本质上 같은 일을 한다: 사용자에게 데이터를 보여주고 사용자가 그 데이터를 처리하게 한다.

는, 같은 문제를 반복해서 해결할 필요가 없다고 생각했다.

는 "자동 적응 브라우저"를 만들었다. 이는 AI를 통해 프론트엔드 UI를 자동으로 생성하고, 백엔드는 데이터를 제공하고 웹 페이지의 용도를 설명하는 것만 필요하다.

이게 프론트엔드의 끝일까?

Adobe는 hosts 파일을 수정했다.

Adobe公司의 주요 제품은 "크리에이티브 클라우드"套件（Creative Cloud）으로, Photoshop, Illustrator, Premiere 등 많은 유명 소프트웨어를 포함하고 있다.

한 넷이 설치한 후 놀랍게 발견했다. 설치 프로그램hosts 파일을 수정했다.는 그의 hosts 파일을 수정했습니다.

위 그림을 보면, Adobe가 hosts 파일에 로컬 DNS 레코드를 추가한 것을 볼 수 있습니다.

어떤 애플리케이션이 시스템 파일을 수정해야 하는가요?

정보에 따르면, 이는 Creative Cloud이 설치되었는지 사용자를 테스트하기 위함입니다. 사용자가 웹사이트를 방문할 때, 웹페이지는 위 그림의 도메인으로 요청을 보냅니다. 이 도메인의 DNS 레코드는 로컬에만 있기 때문에, 서버가 요청을 받으면 Creative Cloud이 설치되었다는 의미입니다.

이렇게 유명한 소프트웨어가, "开后门"과 같은 방법을 생각해 내고, 돈을 주는 사람을 대상으로 하니 정말 이해할 수 없습니다.

기사

1、MDN 새 프론트엔드의 하부 구조（영어）

MDN은 인터넷에서 가장 큰 문서 웹사이트입니다. 이 글에서는 이 웹사이트의 프론트엔드 아키텍처를 소개하며, 예상치 못한 복잡함을 발견했습니다.

2、코딩을 하는 사람을 죽이세요（중국어）

저자는 대기업 프론트엔드 개발자로, 지난 한 해 동안 수작업 코딩에서 AI 프로그래밍으로 전환한 경험을 돌아봅니다. AI는 모든 것을 바꾸었고, '35세 은퇴'라는 말을 해결했습니다.（@wind-liang 기고）

3、어느 안드로이드 스마트폰으로 SMS 게이트웨이를 구축하는 방법（영어）

저자는 중고 안드로이드 스마트폰에 SMS 게이트웨이를 설치하여 인터넷을 통해 SMS를 수신하고 발송하는 방법을 소개합니다（자신의 패키지를 사용하세요）。

4、 QEMU를 사용한 대엔디안 바이트 순서 테스트（영어）

C 언어의 초보 튜토리얼, 이 컴퓨터에서 QEMU 가상 머신을 통해 10줄 미만의 프로그램을 실행하여 특정 아키텍처가 대엔디안인지 소엔디안인지 확인할 수 있습니다.

6、 Python의 importtime 기능（영어）

Python은 import 명령어로 모듈을 입력하면 성능 오버헤드가 발생합니다. 이 글에서는 내장된 importtime 기능을 소개하며, 각 모듈 로드에 소요된 시간을 표시할 수 있습니다.

6、 2000년 쿠르스크 핵잠수정 사고（영어）

2000년 8월, 러시아 원자력 잠수함 "库尔斯克"号는 훈련 중 폭발하여 침몰했으며, 118명의 승무원 전원이 사망했습니다. 이 사고는 매우 천천히 발생했고, 현장은 혼란스러웠으며, 구조 작업은 끊임없이 지연되었습니다. 본 기사는 많은 사진을 사용하여 전 과정을 재현했습니다.

도구

1、Google AI Edge Gallery

이번 주, 구글 공식 앱을 통해 아이폰 앱에 오프라인으로 사용할 수 있는 Gemma 4 모델을 출시했습니다. 인터넷에 접속하지 않아도 스마트폰에서 대형 모델을 사용할 수 있습니다.

2、apfel

맥 컴퓨터에는 로컬 대형 모델이 내장되어 있어 오프라인으로 사용할 수 있습니다. 하지만 기본적으로 오직 애플 자체의 Siri만 호출할 수 있으며, 이 도구를 설치한 후에는 명령줄에서 직접 호출할 수 있습니다.

3、도킹

는 리눅스 데스크탑에 애플 데스크탑과 유사한 프로그램 도크를 추가합니다.

4.Tantivy

는 Rust 언어로 작성된 전문 검색 엔진 라이브러리로, Apache Lucene을 대체할 수 있으며, 소개 글을 참조하세요.

5.Open Screen

는 플랫폼 간 데스크탑 애플리케이션으로, 녹화 후 소개 영상을 만들기 위해 사용되며, 다양한 편집 기능을 제공합니다.

6.epub-tts

이 오픈 소스 도구는 EPUB 파일을 오디오 파일로 변환합니다. 즉, 전자책을 오디오북으로 변환합니다.

7. NVTOP

리눅스 시스템의 명령줄 프로그램으로, GPU 그래픽카드의 상태를 모니터링합니다. 그래픽카드 전용 top 명령과 동일합니다.

8. dmcheck

특정 주제 단어의 도메인 점유 상태를 확인합니다. ( @PlayerYK 기여)

9. Reze Studio

오픈 소스 애니메이션 곡선 편집 웹사이트입니다.@AmyangXYZ 제출)

10、gitlogue

이 도구는 Git 저장소의 커밋 역사를 터미널에서 애니메이션 형태로 재현할 수 있으며, 화면 보호기로 표시할 수도 있습니다.

자원

1、佛津

전 세계 불교 고문서 디지털화 집합 플랫폼。（@xr843 제출)

2、Flight Viz

실시간 3D로 전 세계 항공편을 표시합니다。@haojiang99 제출)

3、GPU 시간선

이 웹사이트는 GPU 그래픽카드의 발전 과정을 이미지로 보여줍니다. 1996년의 Voodoo 카드부터 2025년의 RTX 5090 그래픽카드까지.

이미지

1、사막 산지를 숲으로 만드는 간단한 방법

중앙아메리카의 코스타리카는 오렌지 주스를 생산하며, 많은 오렌지 껍질이 발생했습니다. 과거에는 폐기물로 처리되었습니다.

환경 보호 단체가 공장을 설득하여 12000톤의 오렌지 껍질을 사막 산지에 흩뿌려 유기 비료로 사용했습니다.

산 정상은 오렌지 껍질로 덮여 있었으며, 그 외에는 어떤 처리도 하지 않았습니다.

6개월이 지나서 오렌지 껍질은 완전히 부패하여 검은 흙이 되었고, 점차 생장하기 시작했습니다.

16년 후, 과학자들이 다시 현장을 방문했을 때, 그곳은 이미 우거진 숲이 되어 있었습니다.

이것은 산림화를 위한 가장 간단한 방법입니다. 오렌지 껍질을 쌓아두면 자연스럽게 부패시키면 됩니다.

2. 2025년 글로벌 물리 사진 대회

미국, 프랑스, 일본 등 16개의 입자 물리 연구소가 공동으로 사진 경연대회를 개최하여 사진가들에게 물리 실험실을 촬영하도록 초청했는데, 이는 대중에게 물리학을 홍보하기 위함입니다.

위 사진은 이탈리아 국립핵물리연구소 (INFN)의 저온 탐지기 실험실로, 물질을 절대영도보다 약간 높은 온도로 식힐 수 있습니다.

위 사진 촬영 장소는 프랑스의 중이온 국립가속기 연구소로, 촬영된 장치는 직선 가속기의 전력 공급 시스템입니다.

더 많은 사진은에서입니다.

요약

1.왜 모래는 점성이 있을까요.

해변에 놀러 갈 때 모래가 피부, 신발, 옷, 머리카락에 붙습니다.

모래의 주요 성분은 이산화규소로, 바위와 같습니다. 바위는 점성이 없는데, 왜 모래는 점성이 있을까요.

사실, 모래 자체는 점성이 없지만 물을 끌어당기는 성질이 있습니다. 인체 역시 물을 끌어당기는 성질이 있어, 햇볕 아래에서 땀을 흘립니다. 모래가 습한 것과 접촉하면 물 분자 사이에 점성이 발생합니다.

피부에는 종종 지방이나 선크림이 있어, 이것들도 모래가 피부에 붙게 합니다.

또한, 피부에는 작은 주름이 많아 이것들도 모래를 붙잡을 수 있습니다.

결론적으로, 모래를 제거하려면 피부가 건조해지거나 물로 씻어내야 합니다.

발언

코드를 작성하는 속도가 문제라 생각하신다면, 당신은 더 큰 문제에 직면해 있습니다.

-- Andrew Murphy (오스트레일리아 프로그래머)

2017년에 암호화폐를 처음 접한 사람들만 가진 흥분이 있습니다.

-- Andrew Murphy (오스트레일리아 프로그래머)

설문 조사에 따르면, 미국 젊은 세대는 결혼, 자녀, 신념에 대한 중요도가 부모 세대보다 훨씬 낮으며, 전통적 가치관——애국심, 종교, 공동체와 가정——도 무관심한 것으로 나타났다.

젊은 세대는 시장과 돈을 도덕적 기준으로 삼는다. 그들의 시각에서 시장은 사물의 가치, 사건의 의미, 누가 옳고 누가 이기고 누가 중요한 사람을 결정한다.

-- 《시장의 가장 나쁜 결과 예측》

4、

나에게 미래 도시는 암스테르담처럼 실제로 있는 곳처럼, 편안한 거리와 자전거 도로가 가득한 곳이지, 두바이처럼 16차선 고속도로와 함께 있고, 화려한 쇼핑몰에서 일하는 권위 없는 노동 계급 무리가 있는 곳이 아니다.

-- Hacker News 독자

5、

대학교들은 석사 과정 학생들이 논문을 발표하도록 요구하지만, 당신이 무엇을 쓰고, 어떻게 쓰고, 내용과 연구 방향과 관계없이, 학과는 사실 전혀 신경 쓰지 않는다. 학과가 논문이 필요한 이유는 논문이 예산의 합리성을 증명할 수 있기 때문이며, 예산은 학과의 존재 가치를 증명할 수 있다. 학생들은 그 목표를 달성하기 위한 생산 자원에 불과하다.

-- 《기계는 문제가 없다. 문제는 우리 자신이다》