npm

Граница между Linux и Windows оказалась намного менее надёжной, чем привыкли считать разработчики. <div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/675;margin-bottom:2rem;overflow:hidden"> <div...

14 пакетов. Один импорт. И полный доступ к серверу — за 99 долларов. <div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/676;margin-bottom:2rem;overflow:hidden"> <div itemprop="articleBody">Исследователи нашли...

loadashjs, typescirpt-cli, axois-http — выглядит знакомо? Именно на это и рассчитан StubMaker. <div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/676;margin-bottom:2rem;overflow:hidden"> <div...

И ни одного следа в репозитории. <div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/676;margin-bottom:2rem;overflow:hidden"> <div itemprop="articleBody">Новая версия червя Shai-Hulud заразила 444 пакета npm...

ChainDrop использовал популярные библиотеки с сотнями миллионов загрузок и показал, насколько быстро компрометация разработчика расходится по цепочке поставок. <div class="articl-text-cover"...

Более тысячи заражённых компонентов могли попасть в приложения через непрямые зависимости, о которых разработчики даже не знали. <div class="articl-text-cover"...

Защитные алгоритмы совершенно не видят угрозу в пустых транзакциях. <div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/675;margin-bottom:2rem;overflow:hidden"> <div itemprop="articleBody">Северокорейские...

Привычная свобода авторов разбилась о жёсткие правила безопасности. <div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/675;margin-bottom:2rem;overflow:hidden"> <div itemprop="articleBody">Каждый день в npm...

Amazon связала северокорейских хакеров со взломом четырёх популярных пакетов JavaScript. <div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/675;margin-bottom:2rem;overflow:hidden"> <div itemprop="articleBody">...

Новый червь в npm крадёт ключи разработчиков и распространяется через ИИ-помощников для написания кода. <div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/675;margin-bottom:2rem;overflow:hidden"> <div...

Специалисты CrowdStrike нашли червя, способного уничтожать файлы в зараженных системах разработки. <div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/675;margin-bottom:2rem;overflow:hidden"> <div...

Пять новых версий превратили доверенный пакет в ловушку. <div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/676;margin-bottom:2rem;overflow:hidden"> Украденный ключ к реестру пакетов позволил злоумышленнику...

Socket нашла 162 вредоносных артефакта в кампании, которую связывают с северокорейским кластером Contagious Interview. <div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:800/450;margin-bottom:2rem;overflow:hidden">...

Обновить код по резервным паролям больше не выйдет. Взлом одного популярного пакета может затронуть тысячи проектов, поэтому npm вводит новую защиту для учётных записей, от которых зависит работа самых востребованных библиотек реестра. Теперь при смене адреса электронной почты или...

На части заражённых Windows-машин обнаружили PowerShell-бэкдор с правами SYSTEM. Более 140 пакетов из экосистемы Mastra для создания ИИ-приложений заразили через npm. Вредоносный код запускался сразу после <code>npm install</code> или <code>npm update</code>, поэтому заражение могло затронуть...

Чтобы не потерять активы, действовать необходимо без промедлений. Обычное обновление зависимости снова стало входной точкой для атаки на разработчиков: злоумышленник заразил вредоносным кодом 141 npm-пакет Mastra после взлома учётной записи одного из участников проекта. Mastra — набор...

Платформа отказывается исправлять уязвимость ради мнимого удобства. Иногда опасная атака держится не только на украденных паролях, но и на мелких деталях интерфейса, которым разработчики привыкли доверять. GitHub отклонил два отчёта Deep Specter Research о механизмах, которые, по данным...

NPM 12 превращает установку зависимостей в отдельную работу. NPM готовит одно из самых заметных изменений за последние годы. В новой версии менеджера пакетов разработчики больше не смогут по умолчанию запускать установочные сценарии из чужих библиотек. На бумаге выглядит как мощный удар по...

Сразу 95 официальных пакетов внезапно превратились в шпионов. Разработчики привыкли доверять пакетам из привычных пространств имён, особенно когда речь идёт о компонентах крупных вендоров. Но новый инцидент с npm показал, что даже такая зависимость может стать точкой входа для кражи...

Банальная опечатка при поиске нужной утилиты приводила к немедленному взлому системы. В атаках на разработчиков всё чаще хватает не взлома крупной платформы, а одного удачно замаскированного пакета. Свежий случай с npm показывает, как быстро вредоносный код может попасть в рабочие среды...

Участившиеся хакерские атаки заставили создателей сервиса действовать предельно жёстко. Компания GitHub, которой принадлежит платформа npm, сообщила о двух новых мерах защиты для экосистемы JavaScript. Обновления должны усложнить атаки, при которых злоумышленники пытаются подменять...

Bumblebee позволяет обнаруживать вредоносные пакеты и расширения без запуска стороннего кода. Perplexity AI выложила в открытый доступ Bumblebee, сканер для проверки рабочих компьютеров разработчиков на следы опасных пакетов, расширений и настроек инструментов. Утилита помогает быстро...

Жертве достаточно открыть заражённую ссылку, чтобы мгновенно лишиться всех цифровых накоплений. Компрометация одного npm -пакета превратилась в полноценную цепочку атак на владельцев iPhone. Злоумышленники внедрили вредоносный код в популярный JavaScript-шаблонизатор art-template, который...

Эксперты бьют тревогу: хакеры использовали не банальный взлом, а сложную многоуровневую цепочку. В экосистеме npm снова вспыхнула крупная атака на цепочку поставок: злоумышленники за один час протолкнули сотни вредоносных версий популярных пакетов, которыми пользуются разработчики и системы...

Индустрия расплачивается за невнимательность создателей Nx Console. Популярное расширение Nx Console для Visual Studio Code оказалось заражено вредоносным кодом. Под удар попала версия 18.95.0, которую успели опубликовать в магазине расширений Microsoft. У расширения более 2,2 млн установок...