Apifox 遭受供应链攻击

[eviladan0s]

近期有使用的快排查下吧

官方通告链接： https://mp.weixin.qq.com/s/GpACQdnhVNsMn51cm4hZig

近期我们排查发现，Apifox 公网 SaaS 版桌面客户端动态加载的一个外部 JavaScript 文件遭遇了恶意篡改（遭受供应链攻击）。

如果您在 [ 2026 年 3 月 4 日] 至 [ 2026 年 3 月 22 日] 期间使用了公网 SaaS 版 Apifox 桌面客户端，可能存在敏感信息泄露风险。Apifox 私有化版不受此次事件影响。

攻击者使用的 C2 恶意域名（ apifox[.]it.com ）当时托管在 Cloudflare ，存活 18 天（ 2026 年 3 月 4 日 至 2026 年 3 月 22 日）。目前该域名已无法访问，没有持续发生恶意行为，我们当前无法复现现场。但是根据部分用户反馈和专业人员分析，被篡改的恶意脚本具有概率性触发的特征，触发时可能会读取用户本地设备上的高敏感文件（如 ~/.ssh/ 、~/.zsh_history 、~/.bash_history 、~/.git-credentials 等）。可能会上报到该恶意域名（ apifox[.]it.com ）。我们正在联合安全团队持续进行深度溯源。

[javalaw2010]

坏了，这影响大了去了

[nicoljiang]

特别严重的一个问题，他们在 23 号的时候选择完全不提示用户电脑中数据安全的风险。

[slowgen]

乐，建议结合 https://v2ex.com/t/1159283 一起看

[eviladan0s]

去混淆后的恶意代码链接： https://gist.github.com/phith0n/7020c55bf241b2f3ccf5254192bd48a5

[xndeye]

有什么替代品吗，纯本地就行，最好不是 electron

[supuwoerc]

公司电脑要求重装&密钥全部替换/弃用...

[v1]

@shuangbiaog curl 最好用/狗头

[COW]

看错了，我还以为 apisix 呢

[OnlineParty]

apifox 你 吗 x x 我 x x x ,x x 公司

[phithon]

写了个分析文章，可以参考一下：<https://www.leavesongs.com/PENETRATION/apifox-supply-chain-attack-analysis.html>

[aminobody]

我好奇是怎么做到投毒到官方域名的 cdn 上的呢？

[artieo]

受害者来了 https://imgur.com/a/QyLi0ex


[version]

Apifox 在目前 ai 能力下.不太看好这个产品...桌面应用本身占用内存大..之前几次崩溃直接本地客户端无法使用
现在我都是 ai 生成 openapi.json 把入参出参 ai 生成全部定义 + scalar 本地部署服务访问.体验拉满

[caqiko]

@aminobody 不是官方域名，是一个仿冒的 subdomain
我更好奇为什么会加载一个未知 URL 的 js 。。

[marsKnight]

我是 3 月 3 日给新电脑下载的 哈哈哈哈 我这算逃过一劫吗

[tyrad]

很危险 居然出这种问题

[StephenHe]

还好我用 apipost

[fstab]

我也是觉得 postman 优点臃肿，然后换过 apifox 和 apipost ，这两个都需要登录优点麻烦，我又看了下论坛有一个开发者发的 Reqable ，感觉还可以，比较轻量，可千万别出问题啊。不然还得回 postman 。

[songray]

在 apifox localStorage 文件夹下全部的二进制文件里搜索字符串 rl_mc 或 rl_headers MAC 位置 /Library/Application Support/apifox/Local Storage/leveldb WINDOWS 位置 %APPDATA%\apifox\Local Storage\leveldb\ 如果存在说明曾经被成功攻击过 可以精确判断是否中招

[ipeony]

只是测试 API 的推荐下 Yaak, 主要看重支持 git 同步数据