Netcrook
#npm packages
La botola nascosta di npm: come i pacchetti malevoli possono sfruttare node-gyp per colpire i segreti degli sviluppatori
Un'esca nella supply chain nascosta nelle fasi di installazione e build dei pacchetti può trasformare il normale lavoro di sviluppo in una finestra di esecuzione per il furto di credenziali, soprattutto quando i team si fidano troppo in fretta dei metadati dei componenti nativi.
npm Lookalikes Put PostCSS Trust Chains on the Hook for Chrome Passwords
A deceptive package name can be enough to turn a routine JavaScript install into a staged Windows malware chain with browser-credential risk.
Finti pacchetti PostCSS hanno trasformato una normale installazione npm in un rischio RAT per Windows
Tre pacchetti npm dall'aspetto simile, rivolti agli sviluppatori frontend, evidenziano come la fiducia nel nome del pacchetto e l'esecuzione al momento dell'installazione possano scontrarsi su una postazione di sviluppo.
Pacchetti npm simili trasformano una ricerca CSS in una trappola per la supply chain
Un piccolo gruppo di pacchetti npm a tema PostCSS mostra come la confusione dei nomi e la fiducia al momento dell'installazione possano trasformare il normale lavoro sulle dipendenze in un rischio di malware per Windows.
Un nome npm quasi identico, poi una catena di script Windows: la trappola della supply chain dietro il rilascio di un RAT
Un pacchetto typosquatted nell'ecosistema npm mostra come un singolo nome fuorviante possa offrire agli aggressori un percorso dall'installazione di una dipendenza all'esecuzione nativa su Windows.
Il percorso npm di Mastra trasforma un aggiornamento di pacchetto in un rischio per estensioni crypto
Una dipendenza malevola trovata in oltre 140 pacchetti Mastra mostra come un incidente della supply chain software possa spostarsi dagli strumenti di build alle superfici di criptovaluta rivolte al browser.
Un'identità npm dirottata può avvelenare un'intera catena di dipendenze
Un takeover dell'account di un maintainer legato a pacchetti Mastra compromessi mostra come i registry di pacchetti possano diventare sistemi di distribuzione di malware quando la fiducia nel pubblicatore viene infranta.
Quando un registro di pacchetti diventa un punto cieco per i costruttori di AI
L’attribuzione da parte di Microsoft di una compromissione npm legata a Mastra AI a Sapphire Sleet mostra come un incidente nella supply chain software possa propagarsi negli strumenti per sviluppatori molto prima che qualcuno noti una build malevola.
La fiducia nel namespace si è rotta per prima: la storia della supply chain npm nascosta dentro Mastra
Più di 140 pacchetti nel namespace Mastra sono stati segnalati come parte di una compromissione della supply chain, con una dipendenza di typosquatting, easy-day-js, usata in un modo che poteva adattarsi alla consegna di malware al momento dell'installazione.
Un namespace npm affidabile è diventato l’anello debole in una catena di build AI
Un’identità di collaboratore dirottata e un’impennata nella pubblicazione di pacchetti hanno trasformato l’ecosistema @mastra/* in un avvertimento sulla supply chain per chiunque distribuisca JavaScript o TypeScript su larga scala.
Falsi fix, rischio reale: come una trappola nella supply chain da 25 pacchetti ha preso di mira gli sviluppatori Solana
Una campagna di furto di credenziali basata su pacchetti mostra quanto rapidamente i registri fidati possano diventare punti di ingresso quando gli attaccanti mascherano il malware da correzione di build o helper per SDK.
I pacchetti typosquatted trasformano i tool di sviluppo fidati in un percorso di raccolta segreti
Una campagna di pacchetti a tema Solana mostra come le installazioni da npm e PyPI possano diventare un canale di distribuzione per codice che si esegue prima ancora che uno sviluppatore apra la libreria.
Shai-Hulud ritorna con un raggio d'impatto più ampio su npm e PyPI
Oltre 100 pacchetti sono stati colpiti in una nuova ondata della supply chain, con Miasma e Hades emersi come gli ultimi nomi in una campagna auto-propagante.
Quando l'installazione di un pacchetto diventa ostile: la lezione di IronWorm per gli sviluppatori
Una campagna malevola su npm mostra come le normali installazioni di dipendenze possano trasformarsi in un canale segreto di raccolta di segreti nei sistemi degli sviluppatori, con workflow crypto e Web3 che comportano rischi sproporzionati.
Un worm di pacchetto, un login rubato e una supply chain che continua a diffondersi
Una campagna IronWorm segnalata mette pacchetti npm malevoli, accesso a GitHub e credenziali degli sviluppatori nello stesso percorso d'attacco, con i team crypto e web3 nel mirino.
Quando un file di build diventa una rotta di consegna per l’avvelenamento di npm
Un rapido incidente nella catena dei pacchetti mostra come il plumbing di build nativo e gli hook in fase di installazione possano trasformare flussi di lavoro affidabili per gli sviluppatori in un rischio per la supply chain.
I pacchetti npm fidati sono diventati la botola nella supply chain di Red Hat
Sono stati segnalati come compromessi almeno 32 pacchetti in uno spazio dei nomi ufficiale di Red Hat, mostrando come una singola dipendenza avvelenata possa trasformare installazioni di routine in un evento di raccolta segreta di dati.
Un namespace fidato, un'intrusione silenziosa: cosa può fare a npm un account GitHub compromesso
La compromissione confermata di un pacchetto da parte di Red Hat ricorda che le supply chain software falliscono spesso prima sull'identità che sul codice.
Credential Drift, fiducia nei pacchetti e il blast radius nascosto di una compromissione di namespace
Una compromissione legata a GitHub e npm mostra quanto rapidamente i problemi di identità nel controllo del codice sorgente possano trasformarsi in problemi di fiducia nei pacchetti, anche quando il registry stesso non è il bersaglio originale.
Red Hat citata in un'indagine sulla supply chain npm mentre Mini Shai-Hulud torna sotto i riflettori
I ricercatori affermano che decine di pacchetti npm di Red Hat sono stati presi di mira, un promemoria del fatto che la fiducia nei pacchetti e l'esecuzione al momento dell'installazione possono trasformare una sola release difettosa in un problema di sicurezza più ampio.