Nextron Research 追踪伪装为 CSS 工具和 AI SDK 的恶意 npm 包窃取 AWS 凭证

Nextron Research 追踪到一批伪装成 CSS 工具或 AI SDK 的恶意 npm 包，部分活动最早可追溯到 10 月 25 日。恶意包可窃取 AWS 凭证、侦察 AWS/Bedrock 与发票，并通过 cron、SSH key 和 curl PATH 劫持实现持久化；多数包已下架，mocha-ui-themes 仍在线，研究者建议封锁 cdn.node-js[.]dev 域名。