一、事件背景与攻击技术原理

近期 Apifox 官方发布安全风险公告，其公网 SaaS 版桌面客户端动态加载的外部 JS 文件遭恶意篡改，引发典型供应链投毒攻击。受影响时间段内，特定版本客户端启动时会自动加载被篡改的恶意脚本，隐蔽植入恶意代码，存在本地敏感文件读取、信息窃取及数据外传风险，对企业研发终端、代码仓库、服务器资产构成严重安全威胁。

本次攻击仅影响公网 SaaS 版桌面客户端，Web 版及私有化部署版本不受波及。

二、攻击链路与恶意行为深度拆解

1. 攻击触发机制

攻击者篡改 CDN 托管的外部 JS 资源，低版本 Apifox 客户端启动时自动拉取加载恶意脚本，实现无感知植入、静默执行。

2. 恶意行为特征

恶意脚本具备概率触发特性，触发后可完成以下高危操作：

• 读取本地 .ssh 私钥、终端历史命令记录等敏感文件
• 窃取 Git、代码仓库鉴权凭证、Token、数据库密钥、云服务 AccessKey
• 采集主机名、用户名、MAC 地址等终端身份信息
• 将敏感数据加密后回传至恶意域名，用于后续横向渗透、资产接管

3. 后续安全危害

攻击者利用窃取的密钥与凭证，可登录业务服务器、代码仓库，进一步在内网发起横向移动，引发批量资产沦陷、核心代码泄露、业务系统被控制等严重安全事故。

三、传统防护模式的防护短板

面对这类供应链投毒 + 加密流量外传 + 终端静默窃取的复合型攻击，单一防护手段存在明显短板：

1. 单纯网络防火墙仅能做端口与 IP 管控，无法识别应用层 JS 篡改与加密恶意流量；
2. 仅靠终端杀毒难以发现进程异常、敏感文件越权读取等行为；
3. 缺乏威胁情报联动，无法及时拦截恶意域名外联通信；
4. 无行为回溯能力，事后难以快速定位失陷范围、追溯攻击路径。

因此，必须采用网络边界 + 终端侧协同联动的纵深防御架构。

四、云 WAF+EDR 双层协同防御技术方案

针对本次 Apifox 供应链攻击的特征，采用云 WAF 边界拦截 + EDR 终端行为监控组合架构，形成端到端闭环防护。

1. 云 WAF：筑牢网络边界安全屏障

云 WAF 从网络出口与应用访问层面建立第一道防线，核心技术能力：

• 联动全网威胁情报库，精准识别并拦截恶意域名访问请求
• 深度解析 HTTPS 加密流量，发现隐蔽异常上行数据传输行为
• 阻断终端敏感数据向外回传至恶意节点，切断数据外泄通道
• 统一策略下发，全网批量拦截高危域名与恶意访问行为

2. EDR：终端侧行为感知与应急溯源

EDR 部署在研发终端本地，聚焦进程、文件、网络行为的全维度监控：

（1）实时异常行为检测

可精准识别本次攻击中的典型异常特征：

• Apifox 相关进程异常调用高危模块
• 非授权读取 SSH 私钥、命令行历史、凭证配置等敏感文件
• 进程主动外联已知恶意域名
• 批量读取本地文件并发起对外数据传输

发现异常即刻实时告警，留存进程链、行为时间线、文件访问路径，为安全研判提供完整证据链。

（2）历史行为回溯与范围排查

EDR 支持终端全量行为日志回溯，安全团队可快速完成：

• 精准定位全网失陷终端范围
• 排查恶意域名访问记录、敏感文件读取行为
• 研判是否存在内网横向移动痕迹
• 支撑应急响应、资产排查与漏洞闭环整改

五、企业应急处置标准建议

结合本次事件技术特征，企业可按以下步骤落地应急防护：

1. 全面排查内网研发终端，将受影响 Apifox 客户端统一升级至最新修复版本；
2. 针对风险时间段使用过客户端的设备，批量重置 Git 密钥、数据库密码、云服务密钥等敏感凭证；
3. 在网络出口、终端 hosts 层面封禁恶意域名，阻断外联通道；
4. 部署云 WAF+EDR 纵深防御体系，实现边界拦截与终端行为联动管控；
5. 建立研发终端白名单、应用管控与行为审计机制，常态化防范供应链类攻击。

六、总结

Apifox 供应链投毒事件暴露了研发工具生态存在的安全短板，此类攻击隐蔽性强、危害范围广，单纯依赖终端自查或传统边界设备已无法有效防御。

基于云 WAF 应用层边界防护 + EDR 终端行为感知的协同架构，能够从访问拦截、流量检测、行为监控、事后溯源全流程构建防护闭环，帮助企业应对研发终端供应链攻击、数据窃取与内网横向渗透风险，筑牢研发安全与数据安全底线。