Mini Shai-Hulud マルウェアが@antv パッケージを標的にCI/CDシークレットを盗む
マイクロソフトの研究者が、人気のある@antv Node Package Manager（npm）エコシステムを標的とするアクティブなサプライチェーン攻撃を発見しました。 脅威アクターがメンテナーアカウントを侵害し、広く使用されているデータビジュアライゼーションライブラリを通じて「Mini Shai-Hulud」マル
タグ: パッケージ侵害
320以上のNPMパッケージが新しいMini Shai-Hulud供給チェーン攻撃の被害を受ける
新しいMini Shai-Hulud供給チェーン攻撃が320以上のNPMパッケージと共にGitHub ActionsとVS Code拡張機能に被害を与えたと、セキュリティ研究者は報告しています。 複数の@antv名前空間のパッケージにアクセス権を持つNPMメンテナーアカウント「atool」は、週間150万ダウンロー
Mini Shai-Hulud攻撃が@antv npmパッケージに打撃
大規模なnpmサプライチェーン攻撃が@antverエコシステム内の複数の広く使用されているパッケージを侵害し、Mini Shai-Huludマルウェアファミリーに関連する積極的で急速に進化するキャンペーンと思われるものを調査しています。 攻撃は、複数の人気のあるJavaScriptライブラリに関連付けられているnpm
人気のnpm「node-ipc」ライブラリがサプライチェーン攻撃の被害、週刊ダウンロード数82万2千件に影響
週間ダウンロード数が82万2千件を超える広く使用されているnpmパッケージが、再び重大なサプライチェーン攻撃の中心となり、JavaScriptエコシステム全体で新たな懸念が高まっています。 Socketのセキュリティ研究者は、人気のあるnode-ipcライブラリの複数の悪意あるバージョンを発見し、ステルス的な認証情
PyPIパッケージ(月間110万ダウンロード)がハッキングされ、情報盗聴機能が仕込まれた
攻撃者は、開発者の機密データと暗号資産ウォレットを盗むため、人気のあるelementary-dataパッケージの悪意あるバージョンをPython Package Index (PyPI)にプッシュしました。 危険なリリースは0.23.3であり、パッケージのワークフローがコードからイメージを作成し、デプロイのために
npm供給チェーン型マルウェア攻撃がワーム型の伝播でデベロッパーを狙う
悪意のあるnpmパッケージが認証情報を盗み、開発者エコシステム全体に拡散しようとするマルウェアを配布していることが判明しました。 Socketからの新しい研究によると、この活動は、コマンドアンドコントロール（C2）にインターネットコンピュータプロトコル（ICP）キャニスターを含むブロックチェーンホスト型インフラストラ
別のnpm供給チェーン・ワームが開発環境を蔓延中
また別のnpm供給チェーン攻撃が自己伝播型のマルウェアとなり、感染したパッケージを通じて開発者環境に蔓延して、シークレットと機密データを盗んでいる。これは先月TeamPCPに起因するとされるオープンソース感染との間に大きな重複が見られる。 アプリケーションセキュリティベンダーのSocketとStepSecurity
Axiosサプライチェーン攻撃がnpmへの信頼を損なわせる
研究者が確認したところ、侵害されたAxiosバージョンがリモートアクセストロージャンをインストールしていました。 Axiosはnode.js用のプロミスベースHTTPクライアントで、基本的には開発者がアプリケーションをインターネットと通信させるために使用する補助ツールです。例えば、Axiosは「サーバーからメッセ
Axiosのnpmパッケージがサプライチェーン攻撃で侵害される
広く使用されているAxios HTTPクライアントに対する深刻で巧妙なサプライチェーン攻撃がnpmレジストリで発生し、世界中の数百万の開発者が任意のコマンド実行と機密システムデータの抽出が可能なクロスプラットフォームのリモートアクセストロイ(RAT)にさらされています。 どちらのリリースもGitHubの対応するコミッ
進行中なサプライチェーン攻撃においてAxios NPMパッケージが侵害される
深刻なサプライチェーン攻撃により、npmレジストリで広く使用されているAxios HTTPクライアントが侵害されました。 攻撃者は特定のAxiosリリースに悪意のある依存関係を注入し、数百万の開発者を多段階のリモートアクセストロイの木馬にさらしており、任意のコマンド実行とシステムデータの盗難が可能です。 悪意のあるA
すべての記事を読み込みました