npm 假冒数学库 mathmain 藏加密远控：解方程才唤醒载荷
SafeDep 披露冒充 mathjs 的 npm 包以加密加载器潜伏，需特定矩阵触发后解密执行远控植入。
安全公司 SafeDep 分析显示，npm 包 mathmain（以及 mathsbase、math-universe 等关联包）伪装成流行数学库 mathjs，却内置 AES‑GCM 加密加载器。恶意逻辑挂在线性方程组求解路径上，平常导入并不激活；只有调用方传入可生成特定 LU 下三角因子的矩阵后，才会解密写出并执行载荷。
研究者复现的触发矩阵为 3×3 帕斯卡矩阵；解密后的植入可采集主机信息、经 Slack/Telegram 与测试链上合约接收指令并执行 shell。调查时间线显示相关版本在 8–9 月陆续发布，JFrog 于 9 月 21 日公开触发条件后 SafeDep 完成载荷复现。文中列出了包名、哈希与 C2 指标供排查。