Новости: npm

Обнаружены взломы 42 репозиториев GitHub: злоумышленники использовали файлы слишком большого размера для обхода защиты. Узнайте, как защитить свои учетные данные и инфраструктуру от новых угроз.

Остерегайтесь поддельного Web3-акселератора Apex Accelerator! Он распространяет вредоносные npm-пакеты, крадущие данные и устанавливающие бэкдоры на Windows и macOS. Не предоставляйте свои данные и не запускайте подозрительные инструменты!

Обнаружен вредоносный npm-пакет imgdecode в рамках кампании MALFEX. Загружен 30 сентября 2026 года, скачан 979 раз. Пакет скрывает загрузчик, крадет данные и нацелен на Windows. Изолируйте системы и смените пароли.

GitHub аннулирует непроверенные конфигурации доверенной публикации npm через 48 часов. Устранена уязвимость, позволявшая злоумышленникам публиковать вредоносные версии пакетов. Обновите конфигурации для защиты цепочки поставок!

Уязвимость в npm Trusted Publishing позволяла захватывать пакеты через имена репозиториев GitHub. Исправлено 2 октября. Проверяйте конфигурации и зависимости.

Обнаружен вредоносный код, крадущий учетные данные, в течение минут после публикации в npm. Успейте удалить зараженную версию!

Скомпрометирован npm-пакет Tensorlake! Вредоносная версия 0.5.144 крадет учетные данные и секреты. Удалите пакет и смените пароли немедленно.

Исследователи раскрыли кампанию MALFEX в цепочке поставок npm, распространяющую RAT и стилер. Обнаружено 12 пакетов, 8 из которых вредоносны, с более чем 40 тыс. загрузок. Узнайте о механизмах атаки и связанных угрозах.

Обнаружена кампания PhantomSub: 101 вредоносный пакет npm тайно добавляет разработчиков в группы *WhatsApp. Исследователи OX Security выявили злоупотребление проектом Baileys для массовой подписки. Защитите свои аккаунты!

Новый вредоносный пакет npm “indexed-btree” обходит защиту install scripts. Злоумышленники используют смарт-контракты для C2 и крадут данные через Slack/Telegram. Узнайте, как защититься от новых угроз цепочки поставок ПО.