Útočníci získali kontrolu nad NPM balíčky projektu DuckDB a zveřejnili škodlivé verze.

Příběh o kompromitaci 18 NPM balíčků, které dohromady celkem dosáhly více než 2 miliard stažení týdně, pokračuje. Byla odhalena podobná převzetí prostřednictvím phishingu přihlašovacích údajů doprovodných NPM balíčků projektu DuckDB. Pro balíčky DuckDB byly také vytvořeny verze se škodlivým kódem, které manipulovaly s údaji při provádění plateb pomocí kryptoměn, ale útok byl okamžitě odhalen a zaznamenány byly pouze jednotlivé stáhnutí škodlivých balíčků. Podle předběžných údajů stihly balíčky se škodlivou vložkou, zveřejněné během včera oznámeného útoku na 18 NPM balíčků, být staženy více než 2,5 milionkrát.

Balíčky, které byly kompromitovány ve druhém phishingovém útoku:

Balíček | Píkové číslo stažení týdně | Počet závislostí | Verze se škodlivým kódem ---|---|---|--- duckdb | 242 tisíc | 6 | 1.3.3 @duckdb/duckdb-wasm | 170 tisíc | 4 | 1.3.3 @duckdb/node-api | 81 tisíc | 3 | 6.2.2 @duckdb/node-bindings | 82 tisíc | 1 | 2.9.2 @coveops/abi5 | 51 | 102.0.1

Zdroj: opennet.ru