2026世界杯亚盘 每周下载量超2.7万次的Codex UI器具阴郁窃取OpenAI刷新令牌
2026年5月27日，Aikido Security向Hackread.com裸露了对于坏心npm包codexui-android的商榷。这款广受转移开发者接待的软件器具被阐明会窃取身份考证令牌。该器具是OpenAI Codex（一个能编写代码的东说念主工智能模子）的良友网页用户界面，每周下载量高达约2.7万次。
Aikido Security商榷员Charlie Eriksen发现，该软件包上月实施了供应链报复以窃取用户数据。
归隐于常常功能之中
值得细心的是，报复者并未使用域名仿冒或账户劫抓等常见期间，而是开发了一个信得过实用的器具。此举很可能是为了在火器化器具前建树真是用户群。更掩藏的是，坏心代码并未出当今公开的GitHub仓库中，仅存在于发布的npm包内，这意味着通例的源代码审计势必会遗漏该恫吓。
报复在模块加载时立即触发。dist-cli/index.js文献的首行会导入名为chunk-PUR7OUAG.js的掩藏剧本，该剧本会快速检测腹地凭据。若发现凭据，便会启动数据外泄门径，从auth.json文献中窃取access_token、id_token、账户ID及refresh_token。尤为严重的是，refresh_token不会逾期，报复者可借此长期冒充受害者身份。
开云体育app2026世界杯官方下载为掩藏收罗流量，代码将窃取的数据发送至名为sentry.anyclawstore的工作端节点，2026世界杯赔率此举旨在伪装成常常的Sentry乌有求教遥测数据。在掩藏的源码映掷中，作家以至留住了明确扫视："恒久将令牌发送至咱们的startlog端点"。
针对转移征战的定向报复
商榷团队在博客中指出，该恫吓举止者还将Android转移征战列为报复打算。报复者以BrutalStrike开发者身份在Google Play商店发布利用，该账号名下还领有一款下载量超500万的正当手机游戏。
两款特定利用——付费扫尾器具codex.app和"OpenClaw Codex Claude AI Agent"——均包含交流的坏心基础设施。
（图片起原：Aikido Security）
这些Android利用能轻松通过Google发布前的安全扫描，因为驱动26MB的APK文献看起来透顶无害。装配后，利用会将基于Termux的Linux用户空间解压至稀奇存储，并通过PRoot启动Node.js，随后实施号召装配最新版npm包：pnpm add codexui-android@latest。自[email protected]版块起，数据外泄举止便已存在。
当Eriksen经营开发者对证时，对方蓦的发布声明称其失去了npm账户看望权限，随后赶快删除该声明，转而发布公司声明否定存在凭据窃取举止。
死一火发稿2026世界杯亚盘，该坏心软件包及经渔利用仍在线上运行。商榷东说念主员回来说念："AI开发器具正成为高价值打算，正因为这些令牌权限高且有用期长...恫吓举止者参加真是元气心灵构建着实、有用的技俩动作掩护。这种正当性自己恰是报复载体。跟着AI器具激增和开发者追求扫尾捷径，此类事件将愈发时常。"
