Данные были похищены в результате апрельского взлома с использованием OAuth-токенов Heroku и Travis-CI.
Инструмент направлен на борьбу с вредоносным ПО в репозиториях с открытым исходным кодом.
Злоумышленник мог создавать вредоносные пакеты и назначать их доверенным популярным мейнтейнерам без их ведома.
Российский разработчик Yaffle добавил в свою библиотеку event-source-polyfill интересный фрагмент кода.
Новое требование вступило в силу 1 февраля 2022 года.
Действия разработчика привели к нарушению работы тысяч зависящих проектов.
Пакеты похищали токены доступа Discord и переменные среды с компьютеров пользователей и устанавливали RAT.
Кто-то регулярно создает вредоносные копии пакета noblox.js и дает им названия, очень похожие на настоящее.
Исследователь мог выполнять команды на домене halowaypoint.com, связанном с серией видеоигр Halo.
Вредоносный пакет web-browserify маскируется под популярный npm-пакет Browserify, насчитывающий более 160 млн загрузок и использующийся в более чем 356 тыс. репозиториях на GitHub.
Проблема может привести к различным другим уязвимостям — от подделки запросов на стороне сервера до удаленного доступа.
По словам исследователя, это не атака «несоответствия используемых зависимостей», а нечто гораздо более простое.
Суть «атаки с подменой» заключается во вмешательстве в процесс разработки приложения в корпоративной среде.
На портале npm обнаружена вредоносная JavaScript-библиотека discord.dll.
Библиотеки открывали оболочки на компьютерах разработчиков, импортировавших пакеты в свои проекты.
Код похищал данные пользователей и загружал информацию на общедоступную страницу на GitHub.
Из репозитория npm удален вредоносный пакет, пробывший там две недели.
Вредоносный пакет bb-builder находился в npm в течение года.
Скомпрометированный пакет JavaScript использовался для хищения учетных данных пользователей.
Бэкдор позволял атакующему добавлять на запущенный сервер произвольный код и выполнять его.