2026年5月19日，Socket 安全团队监测到 @antv 生态系统遭遇大规模 npm 供应链攻击。攻击者控制了 npm 维护者账户 atool，发布了 639 个恶意版本（涉及 323 个独立包），影响范围涵盖数据可视化、图表、地图、React 组件等多个生态。
受影响的核心包包括：@antv/g2、@antv/g6、@antv/x6、@antv/l7、@antv/s2、@antv/f2、@antv/g、@antv/g2plot、@antv/graphin、@antv/data-set，以及 echarts-for-react（周下载量约 110 万）、timeago.js、size-sensor、canvas-nest.js 等。
AMOS（Atomic macOS Stealer）是当前最活跃、最危险的macOS恶意软件之一，目前已从单一的数据窃取工具演变为具备后门持久化控制能力的系统性威胁。它并非传统意义上的计算机病毒，而是一种专门设计用来窃取信息的恶意软件（Infostealer），并以"恶意软件即服务"（MaaS）的模式在地下市场流通，任何付费的攻击者都可以使用它发起攻击。
AMOS通过精心设计的社会工程学陷阱进行传播，而非利用系统漏洞。主要方式包括：
自春节假期结束后，微步情报局监测到银狐攻击活动全面复活。3月，银狐已恢复到年前的活跃度，全月微步情报局捕获的新变种达500+，发现大量从去年下半年至今数次迭代的攻击手法，传播范围和对抗强度或已超越去年最高水平。
进入到3月，微步情报局频繁捕获到仿冒浙江省税务局电子税务平台的钓鱼页面。
用户点击钓鱼页面内任意链接，都会触发内置的js跳转事件：
事件触发后，会弹出一个"系统版本过低，需要升级"的虚假弹窗，诱导用户下载银狐木马程序：
Atomic Stealer（通常追踪为 AMOS）已成为 macOS 威胁环境中最为持久的威胁之一。凭借无休止的开发周期和多样化的分发网络，它没有任何减缓的迹象。研究人员已广泛记录了其标志性战术："ClickFix"浏览器社会工程钓鱼提示、伪装的应用安装程序，以及最近的 malext 变体（通过恶意广告活动传播）。
