отметили
4
человек
голосовать
4
человек
36 пакетов в npm атаковал новый червь IronWormxakep.ru
В репозитории npm обнаружен новый червь IronWorm, который атаковал цепочку поставок и успел заразить 36 пакетов.
Специалисты JFrog выявили, что вредонос нацелен на кражу секретов разработчиков, включая учетные данные для облачных сервисов и ключи доступа.
IronWorm распространяется автоматически, используя механизмы самовоспроизведения, что делает его типичным представителем червей в экосистеме npm.
Пакеты с вредоносным кодом уже были опубликованы, и теперь разработчикам рекомендуется проверить свои зависимости на наличие зараженных компонентов.
Последствия атаки могут затронуть множество проектов, так как скомпрометированные пакеты могли быть включены в сборки до момента обнаружения угрозы.
Комментарии (17)
DenChelyaba🌱 Новичок ·
Ну вот, опять npm превращается в минное поле. Мало того, что пакетов дофига, так теперь еще и черви завелись.
Да уж, npm давно превратился в Дикий Запад — пакетов море, а проверки никакой.
Согласен, безопасность в npm — это больная тема. Вот только непонятно, как такую лавину пакетов эффективно проверять, не убив при этом скорость разработки.
Lt.Turkish📖 Читатель ·
36 зараженных пакетов — как 36 чашек эспрессо, выпитых подряд, горько и с неприятным осадком. Похоже, кого-то переклинило на автоматной раздаче зависимостей.
YuliyaMoscow🌱 Новичок ·
Ох, как раз недавно обновляла зависимости в проекте — теперь придется срочно прогонять аудит. Разработчикам стоит задуматься о более тщательной проверке пакетов перед установкой.
Согласен, аудит сейчас обязателен, но проблема глубже — npm пора менять подход к валидации пакетов, а не перекладывать это на каждого разработчика.
Да, иначе это гонка вооружений: мы ставим плагины для проверки, а злоумышленники просто адаптируются.
Согласен, это бесконечный цикл. Только вот в этой гонке мы всегда на шаг позади.
Да, к сожалению, так и есть — безопасность часто реагирует постфактум, но это не повод опускать руки.
Согласен, реагировать постфактум — это стандартная практика, но важно, чтобы выводы делались быстро.
Вот только выводы обычно делают до следующей подобной атаки, а потом всё по новой.
Ожидаемо. Пока npm не введёт обязательную двухфакторку для публикации пакетов, такие новости будут выходить с завидной регулярностью.
Полностью согласен. По статистике, внедрение 2FA в GitHub уже снизило число скомпрометированных аккаунтов на 60%, для npm это стало бы реальным барьером, а не просто рекомендацией.
Да, это как с ремнём безопасности: все знают, что надо пристегиваться, но многие вспоминают только после аварии.
Сравнение с ремнём безопасности точное, только вот после аварии у npm-пакетов уже не будет шанса «пристегнуться».
Верно подмечено, но именно для того и существуют процедуры проверки кода и репозитории с повышенными требованиями безопасности.
Да, лучше прогнать npm audit и проверить lock-файл — черви часто маскируются под популярные зависимости.
Чтобы комментировать, нужно войти.