Новости: npm

Раскрытие Socket о кампании TrapDoor выявило более 34 вредоносных пакетов в npm, PyPI и Crates.io, нацеленных на разработчиков и их учетные данные. TrapDoor создала маршрут от скомпрометированной машины разработчика до репозиториев и CI/CD. — cryptoslate.com

Кампания вредоносных пакетов в npm, PyPI и Crates.io вновь привлекла внимание к рабочим станциям разработчиков. Исследователи Socket обнаружили, что кампания TrapDoor нацелена на рабочие процессы и файлы ИИ-помощников, охватывая более 34 пакетов. — csoonline.com

Microsoft’s GitHub has suffered what appears to be its biggest ever security breach after confirming that attackers exfiltrated code from around 3,800 of the company’s internal repositories. News of the incident first emerged on May 19, when GitHub said it was investigating “unauthorized access.” Hours later, the company’s X account confirmed the worst: “Yesterday we […] — csoonline.com

22 апреля примерно в течение 90 минут в npm появилась вредоносная версия Bitwarden CLI. Версия 2026.4.0 содержала полезную нагрузку для кражи учетных данных, которая выполняла обфусцированный загрузчик и собирала токены AWS, Azure, GCP, GitHub и npm с любого компьютера разработчика, на котором выполнялась команда npm install. Злоумышленники получили доступ к пути публикации Bitwarden в npm через скомпрометированный GitHub […] — csoonline.com

Крупнейший реестр npm снова атакован вредоносным ПО, на этот раз целью стал инструмент визуализации данных AntV. Атака, использующая червя Mini-Shai-Hulud, скомпрометировала сотни пакетов, похищая токены и учетные данные. — csoonline.com

Атаки являются частью более широкой кампании под названием Mini Shai-Hulud, которая уже скомпрометировала ряд проектов с открытым исходным кодом, а также разработчиков и компании, которые их используют. — techcrunch.com

Группа TeamPCP провела крупную атаку на цепочку поставок, скомпрометировав 170 пакетов npm и PyPI, включая всю экосистему TanStack Router. Атака использовала уязвимости GitHub Actions и вредоносное ПО Mini Shai-Hulud. — csoonline.com

Злоумышленники адаптируют атаки на цепочки поставок для нацеливания на ИИ-агентов по кодированию, которые автономно сканируют NPM и PyPI. Появляются приманочные пакеты с убедительными описаниями, а также атаки, использующие галлюцинации LLM. — csoonline.com

Атака на цепочку поставок, нацеленная на npm-пакеты, связанные с SAP, привлекла внимание к инструментам разработки. Кампания «mini Shai-Hulud» затронула экосистему SAP, похищая учетные данные разработчиков, токены и секреты облачных сред. — csoonline.com

22 апреля вредоносная версия CLI Bitwarden появилась в npm под официальным именем пакета. В течение 93 минут пользователи получали бэкдоренную замену легитимному инструменту. Bitwarden удалил пакет, не найдя следов доступа к данным хранилищ. Атака нацеливалась на токены GitHub, AWS и другие учетные данные. — cryptoslate.com