Apifox 遭受供应链攻击

This topic created in 223 days ago, the information mentioned may be changed or developed.

近期有使用的快排查下吧

官方通告链接： https://mp.weixin.qq.com/s/GpACQdnhVNsMn51cm4hZig

近期我们排查发现，Apifox 公网 SaaS 版桌面客户端动态加载的一个外部 JavaScript 文件遭遇了恶意篡改（遭受供应链攻击）。

如果您在 [ 2026 年 3 月 4 日] 至 [ 2026 年 3 月 22 日] 期间使用了公网 SaaS 版 Apifox 桌面客户端，可能存在敏感信息泄露风险。Apifox 私有化版不受此次事件影响。

攻击者使用的 C2 恶意域名（ apifox[.]it.com ）当时托管在 Cloudflare ，存活 18 天（ 2026 年 3 月 4 日至 2026 年 3 月 22 日）。目前该域名已无法访问，没有持续发生恶意行为，我们当前无法复现现场。但是根据部分用户反馈和专业人员分析，被篡改的恶意脚本具有概率性触发的特征，触发时可能会读取用户本地设备上的高敏感文件（如 ~/.ssh/ 、~/.zsh_history 、~/.bash_history 、~/.git-credentials 等）。可能会上报到该恶意域名（ apifox[.]it.com ）。我们正在联合安全团队持续进行深度溯源。

供应链

攻击

安全

151 replies • 2026-07-06 19:30:39 +08:00

1 2

❮

❯

zb1141920796

Mar 26

101

@fstab 这个我也用了，我还是永久付费用户，但是这个主要用来干测试的吧。。。

seedhk

Mar 26

102

我有两个问题，有没有大佬能解答：
1.客户端里加载的 js ，为什么会被替换，cdn 那里出了问题？
2.我用的 mac15 ，有影响吗

leegradyllljjjj

Mar 26

103

开除一定要要快！
有人截图了

coconutwater

Mar 26

104

@miku999 #29 不会就是这篇文章里的小张吧,https://blog.csdn.net/weixin_72565295/article/details/125847715

Ketteiron

Mar 26

105

@eviladan0s #98 供应链攻击是一个极其容易被滥用的词，特别是厂商需要甩锅时。
https://www.cloudflare.com/zh-cn/learning/security/what-is-a-supply-chain-attack/
实际上它指的是第三方依赖项作为被信任的一环却包含了恶意代码，而上层软件间接成为攻击的一环。
正常的供应链攻击是这样：
黑客->依赖项->第三方软件->用户
此次攻击是这样：
黑客->第三方软件(apifox 服务端)->用户
这不是供应链攻击，单纯的就是 apifox 服务的某一环例如 CI/CD 被攻破了
作为被攻破的一环，还敢称"遭受供应链攻击"，除非是 apifox 使用了其他的第三方软件存在问题，该软件恶意篡改了静态资源文件导致了事故，那他们必须说明是哪一环节出了问题，这才是正经的安全通告。

Lanterns

Mar 26

106

已卸载

lguan

Mar 26

107

apifox 我有段时间不用了，之前也是项目被逼的用，他们那个 app 做的并不好，而且很占只用，一看到这个新闻，第一反应就是卸载了，没啥好说的

capric

Mar 26

108

@hahawode
POST https://your-api.com/upload HTTP/1.1
Content-Type: multipart/form-data; boundary=boundary

--boundary
Content-Disposition: form-data; name="file"; filename="example.txt"

< ./path/to/your/file.txt
--boundary--

zed1018

Mar 26

109

中午觉也没睡成，ssh github gitlab k8s token 全部轮了一遍。IOC 标识和 DNS 解析记录都表明我中奖了。

maxwellz

Mar 26

110

已中招，还在评估风险中

nicoljiang

Mar 26

111

@YIsion 你低估了，electron 用了 nodejs 相当于提权了。

horou

Mar 26

112

从 dns 记录下线到新版本更新这个时间线来看，我感觉大概率是内鬼

weilongs

Mar 26

113

登记一下我也中了.

lavvrence

Mar 26

114

这工具我第一天听说的时候就感觉不太靠谱。

Jiajin

Mar 26

115

用的 rapidapi.app ，以前的 paw ，应该不会有类似的问题吧

lujiaosama

Mar 26

116

@seedhk 装了火绒没用啊, 一样会中招.

huddle2689

Mar 26

117

中招了...
太吓人了，我的 .ssh/config 记录了几乎所有服务器地址，ssh 密钥没设置 passphrase 。吸取教训花了半天功夫重装了电脑，把服务器和密钥全部重设完了

yuchen198

Mar 26

118

@czy0612 我试了这个没有命中，以及 ipconfig /displaydns | Select-String "it.com"也没有，但是不敢保证有没有被窃取私钥啊

voidnode

Mar 26

119

…公司好多人中招了，主要是出了问题偷偷修复，不紧急告诉所有用户去处理

afkool

Mar 26

120

这不是扯淡嘛。。

momo31

Mar 26

121

真该死，中招了

guguji5

Mar 26

122

@HuskyYellow #73 感谢啊，，原来是这样，我得换换密码

tutusolo

Mar 26

123

@YIsion
1. ❌ 没有沙箱模式 (No Sandbox)

Apifox 没有使用 macOS App Sandbox ，意味着它可以访问整个文件系统

2. ⚠️ Electron + Node.js

Apifox 是 Electron 应用，内置 Node.js 环境，可以直接执行系统命令：
require('child_process').exec('cat ~/.ssh/id_rsa')

3. 网络权限

NSAllowsArbitraryLoads=true 允许连接任意域名，包括恶意域名 apifox.it.com

---
结论

是的，Apifox 可以读取您的主目录。由于没有沙箱限制，被植入的恶意代码可以：

1. 读取 ~/.ssh/ 中的 SSH 密钥
2. 读取 Git 配置和凭证
3. 读取命令历史
4. 执行任意系统命令

建议立即行动：
1. 删除 SSH 密钥并重新生成
2. 更改 Git 远程仓库密码
3. 清除 localStorage 和 Session Storage
4. 等待官方修复版本

这是 ai 排查的结果

ch3nOr

Mar 26

124

localStorage.getItem('_rl_mc')
'453bc53c71b0d9f18896690aee9128529ec2261d5c515d0b7dedf4fca90d88ed'

中招了呀，太变态了吧

tonariiii

Mar 26

125

有没有人分析出来到底留没留其他后门？

fkdtz

Mar 26

126

@w568w 还真是，又回去看了一遍

flyqie

Mar 26 via Android

127

@marsKnight #15

这根啥时候下的没关系吧，只要你在这个期间用了就有可能中招

zeusho871

Mar 26

128

@songray 我好像都没这个文件夹不知道为啥 apifox 更新了直接给他删除了吗？

JarvanIV

Mar 26

129

md 中招了，早上一来公司安全同事就发消息了，然后今天重装系统装软件配环境搞了一天

realpg

Mar 26

130

没有任何证据证明这是个供应链攻击

已知信息推测结果完全相反，这并不是供应链攻击

ysc3839

Mar 26 via Android

131

@YIsion 在旧版本 macOS 试过，只会限制桌面、下载等几个特定文件夹，用户目录下是不会限制的，不确定新版本情况如何。
你可以找个终端 app ，执行命令访问看看能否成功访问，能的话说明没限制。

ysc3839

Mar 26 via Android

132

@tutusolo macOS 对非商店应用还是启用了弱化版的沙盒的，至少会限制访问桌面、下载等几个特定文件夹，会限制录音录像录屏，但不会限制访问用户目录下的文件。
这个沙盒对 root 权限无效，如果应用要求输入账户密码提权，那就可以绕过限制。
只能说有用，但用处不是很大，不能保证完全安全。

5had0w

Mar 26

133

吗的，用了几年的 postman ，上周新电脑想着试试 apifox ，结果就出现这事？

99s

Mar 26

134

软件占内存，还好用 web 端逃过一劫

dule

Mar 26

135

@YIsion #75 调用 eval()的

codersdp1

Mar 26

136

@czy0612 #85 大佬 mac 下
grep -arlE "rl_mc|rl_headers" "$HOME/Library/Application Support/apifox/Local Storage/leveldb" 正常
但是 grep "apifox.it.com" "$HOME/Library/Application Support/apifox/Network Persistent State" 有输出，这中招没？？

dule

Mar 26

137

没中招，这次规模不小啊，基本用这软件的估计都逃不了，之前 v 站就有人让推荐这类软件，我给的评论就是尽量不要用在线联网的，天然就不大信任，尽量用离线版本或者内网

IceRovah

Mar 27

138

真中招了，怕怕

moudy

Mar 27

139

@stinkytofux mac keychain 呢

dule

Mar 27

140

应该庆幸没搞什么勒索病毒，全文件加密的操作，不然大伙都没空在这聊天的

caqiko

Mar 27

141

@aminobody 了解了下 CDN 投毒，现在理解了，感谢感谢

snakejia

Mar 27

142

这个有必要重装系统吗

fstab

Mar 27

143

@dule #140 别说，千万别说，有时候说出来像许愿一样。

sarices

Mar 27

144

mac 连这个目录也没有应该没问题吧 $HOME/Library/Application Support/apifox

w977741432

Mar 27

145

linux ，Flatpak 包管理安装的 apifox, 以下命令有输出，可以确认是否被泄密了：
grep "apifox.it.com" "$HOME/.var/app/com.apifox.Apifox/config/apifox/Network Persistent State"
grep -arlE "rl_mc|rl_headers" "$HOME/.var/app/com.apifox.Apifox/config/apifox/Local Storage/leveldb"
@czy0612

tommyshelbyV2

Mar 27

146

坏菜了，中招了，换密钥搞了半天

Feedmo

Mar 27

147

@artieo 这个算是防住了吗，还有这个自定义防护是默认开启的吗？

netabare

Mar 27 via iPhone

148

@slowgen 很好奇这贴里面那些拿「最佳实践、团队规范」强迫别人用这玩意的人后续怎么样了

fstab

Mar 27

149

@zb1141920796 #101 也可以 post 请求，我一般用来测试 openlist 的接口，
然后搞一些自动化的东西，处理家里面的 nas 和挂载在云盘的数据。

XWZCoffee

Apr 10

150

有人服务器中招了吗

lyxxxh2

Jul 6

151

官方说的什么玩意,避重就轻啊。
自己总结了下:
1. apifox 会加载 https://cdn.apifox.com/www/assets/js/apifox-app-event-tracking.min.js
2. cdn.apifox.com 被攻破了,攻击者修改/apifox-app-event-tracking.min.js
3. apifox-app-event-tracking.min.js 将敏感文件上传到 apifox.it.com

真正问题是: cdn.apifox.com 攻破了!
cdn.apifox.com 是是七牛的。
七牛给他投毒了吗? 没有,那跟供应链投毒没有关系。
自己的问题,瞎逼逼一堆。

1 2

❮

❯