В марте 2026 года хакерская группа TeamPCP провела серию каскадных атак на цепочку поставок. Началось все с компрометации сканера уязвимостей Trivy и компании Aqua Security, а затем атака затронула npm, PyPI, Checkmarx, Telnyx и десятки тысяч CI/CD-пайплайнов по всему миру.
В этом месяце: злоумышленники скомпрометировали npm-пакет Axios и раздавали RAT разработчикам; Anthropic представила закрытую модель Claude Mythos, которая нашла тысячи 0-day, но энтузиасты тут же получили к ней доступ; российские власти развернули масштабную кампанию против VPN; исследователь Chaotic Eclipse объявил войну Microsoft и публикует эксплоиты для непропатченных уязвимостей; у DeFi-платформы Drift украли 285 миллионов долларов, а также другие важные и интересные события апреля.
В конце прошлой недели npm-пакет bitwarden/cli стал вредоносным: злоумышленники внедрили в него инфостилер, который похищал …
Популярный HTTP-клиент Axios пострадал от атаки на цепочку поставок. Злоумышленники скомпрометировали npm-аккаунт основного …
Злоумышленники скомпрометировали официальные пакеты npm и PyPI криптовалютной биржи dYdX и распространили через них малварь.…
В репозитории npm обнаружили вредоносный пакет, маскирующийся под легитимную библиотеку для работы с WhatsApp Web API. Малва…
Самораспространяющаяся малварь Shai-Hulud вернулась в npm, скомпрометировав более 25 000 разработчиков всего за три дня. Сот…
Исследователи из компании Socket обнаружили в npm семь вредоносных пакетов, которые используют облачный сервис Adspect для м…
В npm обнаружили еще одного самораспространяющегося червя IndonesianFoods, который каждые семь секунд порождает новые пакеты…
Исследователи из компании Veracode обнаружили вредоносный npm-пакет acitons/artifact, который маскировался под легитимный ac…
С августа 2024 года, в рамках кампании PhantomRaven в npm загрузили 126 вредоносных пакетов, которые суммарно скачали более …
Специалисты «Лаборатории Касперского» обнаружили в npm вредоносный пакет https-proxy-utils. Он был замаскирован под легитимн…
В этом месяце: в сеть попали 600 Гбайт данных, связанных с «Великим китайским файрволом», вредоносная игра из Steam похитила криптовалюту у сотен пользователей, Минцифры работает над «белыми списками», экосистема npm пострадала от крупнейшей в истории атаки на цепочку поставок, энтузиасты придумали аналог премии Дарвина для искусственного интеллекта, а также другие важные и интересные события ушедшего сентября.
Злоумышленники злоупотребляют легитимной инфраструктурой npm в новой фишинговой кампании Beamglea. На этот раз вредоносные п…
Исследователи обнаружили в npm вредоносный пакет fezbox, который ворует у жертв файлы cookie. Чтобы вредоносная активность о…
Разработчики GitHub сообщили, что работают над комплексом защитных мер, направленных против атак на цепочки поставок, которы…
Исследователи обнаружили компрометацию более 180 npm-пакетов, которые оказались поражены самораспространяющейся малварью, на…
Самая крупная атака за всю историю экосистемы npm затронула примерно 10% облачных сред. Однако специалисты пришли к выводу, …
По данным специалистов компании Wiz, которые изучили недавнюю атаку s1ngularity, нацеленную на NX, инцидент привел к масштаб…
Исследователи предупреждают о крупнейшей в истории атаке на цепочку поставок. Злоумышленники внедрили малварь в популярнейши…
Мейнтейнеры NX предупредили пользователей об атаке на цепочку поставок. Компрометация токена одного из разработчиков позволи…
Специалисты компании Safety обнаружили в npm вредоносный пакет, сгенерированный с помощью ИИ и скрывавший в себе малварь для…
За последние недели ряд опенсорс-разработчиков пострадали от фишинговых атак. В результате в пакеты, некоторые из которых на…
Северокорейские хакеры разместили 67 вредоносных пакетов в npm, через которые распространялся новый загрузчик малвари XORInd…
В npm обнаружена еще одна крупная атака на цепочку поставок, затронувшая 17 популярных пакетов GlueStack @react-native-aria.…
Два вредоносных пакета маскировались под полезные утилиты, но на самом деле представляли собой вайперы, намеренно удаляющие …
Исследователи из компании Socket обнаружили активную кампанию, в рамках которой используются десятки вредоносных npm-пакетов…
Специалисты компании Socket нашли в npm восемь вредоносных пакетов, которые были загружены из репозитория более 6200 раз за …
В npm обнаружили вредоносный пакет, который прячет вредоносный код с помощью невидимых символов Unicode и использует ссылки …
Обнаружен macOS-бэкдор в трех npm-пакетах, выдававших себя за инструменты для разработчиков для популярного редактора кода C…
В популярный пакет rand-user-agent, который загружают более 45 000 раз в неделю, внедрили обфусцированный код. Малварь актив…
Многие версии JavaScript-библиотеки xrpl.js Ripple в npm оказались скомпрометированы неизвестными злоумышленниками в рамках …
Сразу девять расширений в VSCode Marketplace выдавали себя за настоящие инструменты разработки и заражали машины пользовател…
Исследователи предупреждают о новой атаке на цепочку поставок. Десять пакетов npm, некоторые из которых существуют почти 10 …
В npm обнаружены два вредоносных пакета, которые скрытно модифицируют легитимные, локально установленные пакеты, чтобы внедр…
Исследователи из компании SecurityScorecard обнаружили, что северокорейская хак-группа Lazarus использует ранее неизвестную …
В npm нашли сразу 20 вредоносных пакетов, выдающих себя за среду разработки Hardhat, которую используют Ethereum-разработчик…
Наступило то самое время: до нового года остались считаные дни, и со всех сторон слышится «давай после праздников». Значит, пришла пора подводить итоги и вспомнить, какими событиями был наполнен уходящий 2024-й. Мы уже выбрали победителей в одиннадцати номинациях и подготовили для тебя традиционную подборку самых значимых атак, фейлов, уязвимостей, взломов и других ярких моментов уходящего года.
Сегодня поговорим о самых классных ресерчах этого года. Принципы защищенного дизайна от Google, анализ зиродеев, уязвимые пакеты в PyPI и NPM, лучшие доклады с конференций RSA и Black Hat.
Сразу три популярных в npm пакета были взломаны и заменены вредоносными версиями, содержащими криптовалютные майнеры. Дело в…
Сайт защищен Qrator —
