自传播恶意软件污染开源软件 并清除伊朗境内设备
美国网络安全公司Aikido研究人员查理·埃里克森（Charlie Eriksen）于3月24日通过邮件表示，名为CanisterWorm的恶意软件已于周日晚被下架，目前无法获取。
“它并不像他们预期的那样可靠或无法触及，”埃里克森写道，“但一段时间内，若系统被感染，该软件将触发清除操作。”
该恶意软件与此前TeamPCP组织的攻击类似，专门针对组织的CI/CD（持续集成/持续部署）管道，利用开发者在安装软件包时暴露的npm令牌进行传播。
“任何安装此包且拥有npm令牌的开发者或CI管道，都将成为无意中的传播载体，”埃里克森指出，“他们的软件包会被感染，下游用户安装后，若持有令牌，传播循环将再次启动。”
随着周末推进，CanisterWorm更新了新的载荷：一种专门针对伊朗的擦除程序。当感染设备时，恶意软件会检测设备是否位于伊朗时区或配置为伊朗使用。若满足任一条件，则不再激活凭据窃取模块，而是触发名为Kamikaze的新型擦除程序。
埃里克森表示，目前尚无证据表明该蠕虫已对伊朗系统造成实际破坏，但其“大规模影响潜力明确”。
Kamikaze的决策逻辑被描述为“简单而残酷”：
- Kubernetes + 伊朗：部署DaemonSet，清除集群中所有节点
- Kubernetes + 其他地区：部署DaemonSet，在所有节点安装CanisterWorm后门
- 无Kubernetes + 伊朗：执行rm -rf / --no-preserve-root（系统擦除）
- 无Kubernetes + 其他地区：退出，无操作
TeamPCP针对目前与美国处于冲突状态的伊朗，这一行为与其过往以经济利益为导向的攻击模式不符。埃里克森表示，Aikido尚未明确其动机，但推测可能包含意识形态因素，或为刻意提升组织知名度。
“历史上TeamPCP似乎以财务收益为目标，但已有迹象表明，可见度正成为其目标之一，”埃里克森写道，“通过攻击安全工具和开源项目（包括今日的Checkmarx），他们正发出明确且刻意的信号。”
此次攻击源于2月底对Aqua Security的供应链入侵。该公司虽已启动应急响应并尝试更换所有受损凭据，但轮换不完整，导致TeamPCP得以控制用于分发漏洞扫描工具Trivy的GitHub账户。Aqua Security表示已启动更彻底的凭据清理程序。
编辑点评
此次CanisterWorm事件凸显了开源软件生态系统的脆弱性与全球供应链安全的严峻挑战。攻击者利用开发者凭证漏洞，在多个关键开源项目中植入恶意代码，构成跨平台、跨组织的系统性风险。尤其值得注意的是，恶意软件新增对伊朗的定向擦除功能，虽尚无实证损害，但其潜在破坏力巨大，标志着网络攻击形态正从纯粹经济动机向地缘政治意图演进。TeamPCP此次行为或可视为一种‘数字宣示’，旨在提升其在黑客社群中的知名度与影响力。随着开源项目在关键基础设施中的广泛应用，此类攻击可能威胁全球软件供应链安全，促使各国加强开源代码审计与供应链安全管理。未来，国际社会或需建立更严格的开源项目认证机制，同时推动跨国合作应对跨域网络威胁。