Jak złośliwe pakiety npm mogą zagrażać bezpieczeństwu?
Jak złośliwe pakiety npm mogą zagrażać bezpieczeństwu?
Badacze bezpieczeństwa z Microsoft ujawnili złośliwą kampanię w ekosystemie pakietów npm, w której jeden użytkownik opublikował 14 złośliwych pakietów w ciągu zaledwie 4 godzin.
Pakiety te podszywają się pod popularne biblioteki, takie jak OpenSearch i ElasticSearch, a także narzędzia do konfiguracji środowiska. Wykorzystują techniki takie jak typosquatting, fałszywe metadane oraz spreparowane wersje, aby oszukać użytkowników.
Payload złośliwego oprogramowania jest uruchamiany automatycznie przez hooki npm, co powoduje, że może kradnąć sekrety z różnych środowisk CI/CD i chmurowych, w tym:
- AWS
- HashiCorp Vault
- GitHub Actions
- Tokeny npm
W obliczu rosnących zagrożeń, ważne jest, aby programiści zachowali ostrożność i dokładnie sprawdzali źródła pakietów, które instalują.
Na podstawie: Źródła
