Czy Twoje aplikacje są zagrożone przez atak na popularne pakiety npm?
Czy Twoje aplikacje są zagrożone przez atak na popularne pakiety npm?
W ostatnich dniach zespół badawczy Socketa odkrył aktywny atak na łańcuch dostaw, który dotknął szeroko używane pakiety npm: keyv oraz cacheable. Atak ten miał miejsce 4 sierpnia 2026 roku, kiedy to opublikowano co najmniej dziesięć pakietów, które zawierały złośliwe skrypty w preinstalacyjnych hookach.
Te złośliwe pakiety pobierały samodzielne środowisko Bun, a następnie uruchamiały obfuskujący drugi etap, zbierając poświadczenia chmurowe i CI. W rezultacie, trojanizowane wersje innych pakietów były publikowane z wykorzystaniem skradzionych tokenów npm.
Warto zauważyć, że dotknięte pakiety łącznie generują dziesiątki milionów pobrań tygodniowo. Nowe złośliwe pakiety pojawiają się w czasie rzeczywistym, a zespół Socketa na bieżąco aktualizuje listę zagrożeń.
- Wszechobecność ataku
- Potencjalne straty dla deweloperów
- Wzrost liczby złośliwych pakietów
Na podstawie: Źródła
