三个休眠cdmbase包被注入以太坊死投加载器

2026-11-03，三个休眠的 cdmbase 包发布了四个版本，携带着一个以太坊死投加载器。

[email protected]（2026-08-04）在 npm 时间中列出，但已从 versions 中消失。Greenflagged 于 2026-08-04 将其标记为拒绝，属于 keyv/cacheable preinstall: node setup.mjs 蠕虫事件的一部分。0.0.13 和 0.0.14 从未存在过。

这些包共有 18 名维护者，大多数使用 @cdmbase.com 地址。我们检查了这 18 个账户所维护的 190 个包中自 2026-10-27 以来发布的每个版本（npm search API，2026-11-03）。UTC 22:40 时共有 109 个版本，只有这 3 个携带了 payload。[email protected] 是在那次检查之后出现的。在同一时间窗口内，clockbook-app 还发布了另外 45 个版本，全部是 @adminide-stack/yantra-mobile，且全部干净。

我们将 tarball 与上一版本逐文件进行了 diff。每个包都恰好有两个文件发生变化，没有新增或删除文件。

package.json 变更：三个包的 version 均有变化。仅在 utils 中，scripts.jest 从 ./node_modules/.bin/jest 变成了 jest。

payload 行位于 client-redux lib/index.js:292： /******/ });<157 × \t>eval(atob("Z2xvYmFsLmkgPSAnQTEwLW5wbV9pbmplY3Qn…")); 其上一行（291）为空。下一行（293）为 //# sourceMappingURL=index.js.map。

与 0.0.16-128（最后一个干净版本）进行 diff：

解码后的字符串是可读的 JavaScript（472 行），未经过压缩。与第一个变体相比：

静态解码（字符串表轮换和索引偏移，仅此而已）。我们没有运行它。

未检查：stage 2。我们没有联系 C2。

发送方 0x1eef0849eda15d87f64e51c73c8442cf3c8bcef3，数据来自 Blockscout API，时间为 2026-11-03 约 22:50 UTC。该地址有 226 笔交易：225 笔发送，1 笔接收，接收来自 0x4e5b2e1dc63f6b91cb6cd759936495434c7e972f，时间为 2026-10-14。每笔发送交易的值均为 0。每个目标地址先是 C2 IP 出现两次，然后是 ASCII 字节 helloipbot!!。

当前地址大约每 3 小时 20 分钟重新发布一次。最近一次是 nonce 224，交易 0x117ce8e3ae87d47b88b40b464049954e915554df8d4bf5b33d93abddbda87441。

没有客户端通过 Greenflagged 安装过这些版本中的任何一个。立即在 https://greenflagged.dev 开始使用 Greenflagged。