Security Week 32: В репозиторий npm проник шпион, Disney запретят следить за детьми, Juniper запатчил годовалый баг

JS-разработчики порой творят друг с другом страшные вещи. Нет бы мирно кодить и радоваться каждому коммиту! Но в ряды травоядных мирных программистов затесался злодей, подкинувший в репозиторий npm пачку вредоносных пакетов. npm – стандартный менеджер пакетов в Node.js, и обладает облачным репозиторием, полным всяких полезнейших пакетов.

Негодяй, скрывающий свое бесчестное имя под ником HuskTask рассудил так, что людям свойственно ошибаться, и нет ничего естественнее, чем, например, пропустить дефис в cross-env. И залил в репозиторий свой пакет с именем crossenv. И еще несколько, именованных по тому же принципу. В результате какое-то количество пользователей загрузили в свои проекты пакеты от HuskTask, понятия не имея, что там за код внутри.

Один из пользователей таки заглянул в crossenv и побежал в твиттер бить тревогу. Как оказалось, этот пакет содержит скрипт, который добывает из переменных окружения важную информацию (например, учетные данные от npm), кодирует ее в строку, и отправляет POST-запросом на сервер npm.hacktask.net.
Читать дальше →

Источник: Хабрахабр

Перейти на сайт

Похожие новости

• [Перевод] Postman логирует все ваши секреты и переменные окружения
• Math Agency: Google AI Mode: новая модель поиска, которая меняет всё
• Атака клонов или темная сторона Open Source
• А вам точно нужно делать и продвигать приложение? Два главных вопроса бизнесу перед разработкой
• Гайд по криптостойкости, как защитить наши данные
• [Перевод] Взлом моей машины, и, вероятно, вашей — уязвимости в приложении Volkswagen
• [Перевод] ПОСТРОЕНИЕ ДОВЕРИЯ К ИИ: как блокчейн повышает целостность, безопасность и конфиденциальность данных
• Конкурс — дело тонкое: механики, которые работают у застройщиков (и не вызывают кринж у аудитории)
• Кризис идей: что делать, если не растут продажи на маркетплейсе
• От ручного труда к автоматизированным системам: польза для кредитных организаций