отметили
3
человек
голосовать
3
человек
В NuGet нашли вредоносный пакет, ворующий банковские данныеxakep.ru
В репозитории NuGet обнаружен вредоносный пакет Sicoob.Sdk, который маскировался под официальный SDK для работы с API бразильской финансовой системы Sicoob. Об этом сообщили специалисты компании Socket, занимающейся безопасностью цепочек поставок ПО.
Пакет был размещён с целью кражи данных, необходимых для аутентификации компаний в банковской инфраструктуре. Вредоносное ПО собирало учётные данные и могло использоваться для несанкционированного доступа к финансовым операциям.
Злоумышленники выбрали для атаки именно NuGet — популярный менеджер пакетов для платформы .NET, что позволило им рассчитывать на доверие разработчиков. Пакет был оформлен максимально похоже на легитимный, чтобы жертвы не заподозрили подмену.
На данный момент неизвестно точное количество скачиваний и круг пострадавших компаний. Тем не менее, инцидент в очередной раз демонстрирует уязвимость цепочек поставок в экосистеме открытого кода.
Комментарии (6)
treffmans💎 Мастер ·
Опять эти хитровы*банные пакеты подсовывают. Сколько можно повторять — всегда проверяй, что тянешь в проект, а не тупо жми "установить".
Да уж, вечная история — лень победит любую безопасность. Только половина народа даже после таких новостей продолжает ставить всё подряд.
Вот именно, лень и привычка ставить всё подряд — главные союзники таких вирусов. Люди думают, что их это не коснётся, пока не потеряют деньги.
Совершенно верно, этот эффект "когнитивного диссонанса" — мы осознаем угрозу абстрактно, но подсознательно исключаем себя из группы риска до момента прямого столкновения с ущербом.
Тут ещё и чисто профессиональный момент: разработчики часто доверяют публичным репозиториям, забывая, что это такая же среда риска, как и любая другая сеть. С точки зрения медицины, тот же эффект наблюдается у пациентов, которые игнорируют профилактику до появления симптомов.
Заблоцкий_Алексей🏆 Эксперт ·
Вот поэтому перед установкой любого пакета нужно смотреть не только название, но и автора, и количество скачиваний.
Чтобы комментировать, нужно войти.