知名 API 工具 Apifox 被植入后门：macOS/Windows 开发者安全自查指南

2026 年 3 月初知名 API 协作工具 Apifox 爆发大规模供应链投毒事件。攻击者通过篡改桌面端动态加载的 JavaScript 脚本在数万名开发者的电脑中植入后门。这次事件再次敲响了警钟作为生产力工具的软件正成为黑客进攻企业内网的特洛伊木马。一、什么是供应链投毒简单来说供应链投毒是指攻击者不直接攻击目标系统而是攻击目标系统所依赖的第三方库、插件或软件更新通道。本次 Apifox 事件中攻击者利用了其 Electron 桌面端加载外部资源的机制将恶意代码注入其中。二、技术拆解攻击者在盯着你的哪些文件根据安全专家的逆向分析本次恶意载荷Payload具有极强的针对性主要目标是窃取开发者的核心凭证1. SSH 密钥扫描 ~/.ssh/id_rsa 等私钥文件获取服务器控制权。2. Git 凭证通过读取 .gitconfig 和缓存窃取 GitHub/GitLab 的 Access Token从而拉取私有代码仓。3. Shell 历史记录分析 .zsh_history 或 .bash_history寻找明文密码、API 参数及内网 IP 地址。4. 云服务配置读取 AWS、阿里云等云厂商的 AccessKey。三、macOS/Linux 用户自查指南如果你在 2026 年 3 月 4 日后使用过 Apifox 桌面端请立即执行以下操作进行排查1. 深度检索恶意特征在终端运行以下命令检查本地缓存中是否存在恶意代码指纹grep -arlE rl_mc|rl_headers ~/Library/Application\ Support/apifox/Local\ Storage/leveldb注意如果有任何文件名输出说明你的设备已受到感染。2. 检查异常外联通过以下命令观察是否有连接到可疑域名如恶意 C2 服务器lsof -i -P -n | grep ESTABLISHED四、亡羊补牢受灾后的应急响应如果你确认受到了影响请按顺序执行以下止损操作1. 卸载与清理彻底删除 Apifox 及其相关缓存目录~/Library/Application Support/apifox。2. 轮换 SSH 密钥不要抱有幻想立即生成新的 SSH Key 对并移除服务器上旧的 authorized_keys。3. 撤销 Token前往 GitHub 或公司 Git 平台撤销所有现有的 Personal Access Token。4. 修改环境变量重点检查 Laravel 等框架的 .env 文件更换涉及的数据库及第三方服务密码。五、这次事件给我们的启示这次事件提醒我们单纯的防火墙已不足以保护开发环境。建议开发者1. 推崇 Web 端优先对于不依赖本地环境的工具优先使用网页版。2. 最小权限运行尽量避免以 Root 或高权限运行非必要的桌面工具。3. 审计历史记录在 .zshrc 中开启命令前加空格不记入历史的功能export HISTIGNORE:[]*。六、结语在这个万物互联的时代不信任且持续验证Zero Trust是保护代码资产的最后一道防线。供应链攻击之所以危险是因为它利用了我们对常用工具的信任。作为开发者我们不仅要写好代码更要保护好自己的开发环境。共勉。