Security Week 32: В репозиторий npm проник шпион, Disney запретят следить за детьми, Juniper запатчил годовалый баг

JS-разработчики порой творят друг с другом страшные вещи. Нет бы мирно кодить и радоваться каждому коммиту! Но в ряды травоядных мирных программистов затесался злодей, подкинувший в репозиторий npm пачку вредоносных пакетов. npm – стандартный менеджер пакетов в Node.js, и обладает облачным репозиторием, полным всяких полезнейших пакетов.

Негодяй, скрывающий свое бесчестное имя под ником HuskTask рассудил так, что людям свойственно ошибаться, и нет ничего естественнее, чем, например, пропустить дефис в cross-env. И залил в репозиторий свой пакет с именем crossenv. И еще несколько, именованных по тому же принципу. В результате какое-то количество пользователей загрузили в свои проекты пакеты от HuskTask, понятия не имея, что там за код внутри.

Один из пользователей таки заглянул в crossenv и побежал в твиттер бить тревогу. Как оказалось, этот пакет содержит скрипт, который добывает из переменных окружения важную информацию (например, учетные данные от npm), кодирует ее в строку, и отправляет POST-запросом на сервер npm.hacktask.net.
Читать дальше →

Источник: Хабрахабр

Перейти на сайт

Похожие новости

• Децентрализованное доверие. 1. Гипотеза
• Боли и решения: какие трудности возникают при найме коммуникаторов
• Большие языковые модели в финтехе: можно ли доверять им данные
• Spark_news: Каждый четвертый предприниматель не доволен своим окружением
• Редакция Spark.ru: Не прогори. Как найти китайского поставщика для работы на российском рынке?
• Finpeople: «Лента» объявляет о росте выручки на 62,1% и увеличении рентабельности по EBITDA на 434 б.п. в 1 квартале 2024 года
• Руслан Галифанов: Трезвый взгляд на Америку как место для жизни и бизнеса
• Путеводитель по Docker. От основ контейнеризации до создания собственного докера
• Чтение на выходные: «Искусство быть невидимым. Как сохранить приватность в эпоху Big Data» Кевина Митника
• Spark_news: Зумеры быстрее всех выгорают на работе