Крупнейшая атака на цепочку поставок
Хакеры скомпрометировали широко используемые библиотеки программного обеспечения JavaScript, что стало крупнейшей атакой на цепочку поставок в истории. Внедренный вредоносный код предназначен для кражи криптовалюты путем замены адресов кошельков и перехвата транзакций.
Взлом аккаунта NPM
Согласно нескольким отчетам, хакеры взломали аккаунт менеджера пакетов Node Package Manager (NPM) известного разработчика и тайно добавили вредоносное ПО в популярные библиотеки JavaScript, используемые миллионами приложений. Зловредный код заменяет или перехватывает адреса криптовалютных кошельков, ставя под угрозу проекты с миллиардами загрузок.
«В настоящее время происходит крупномасштабная атака на цепочку поставок: аккаунт NPM уважаемого разработчика был скомпрометирован,» — предупредил главный технический директор Ledger Шарль Гийемет.
«Затронутые пакеты уже были загружены более 1 миллиарда раз, что означает, что вся экосистема JavaScript может быть под угрозой.»
Целевые пакеты и риски
Атака нацелилась на такие пакеты, как [названия пакетов], которые являются небольшими утилитами, глубоко интегрированными в деревья зависимостей бесчисленных проектов. Вместе эти библиотеки загружаются более миллиарда раз каждую неделю, что означает, что даже разработчики, которые никогда не устанавливали их напрямую, могут быть подвержены риску.
NPM и крипто-клипперы
NPM — это как магазин приложений для разработчиков, центральная библиотека, где они делятся и загружают небольшие пакеты кода для создания проектов на JavaScript. Похоже, что злоумышленники внедрили крипто-клиппер — тип вредоносного ПО, который тихо заменяет адреса кошельков во время транзакций, чтобы перенаправить средства.
Исследователи безопасности предупредили, что пользователи, полагающиеся на программные кошельки, могут быть особенно уязвимы, в то время как те, кто подтверждает каждую транзакцию на аппаратном кошельке, защищены. Неясно, пытается ли вредоносное ПО также украсть сид-фразы напрямую.
Заключение
Это развивающаяся история, и дополнительная информация будет добавлена по мере ее поступления.
