Angribere har fået kontrol over NPM-pakkerne i projektet DuckDB og offentliggjort ondsindede udgivelser.

Historien om kompromitteringen af 18 NPM-pakker, der samlet set har over 2 milliarder downloads om ugen, fortsætter. En lignende overtagelse gennem phishing af legitimationsoplysninger for de NPM-pakker, der tilhører projektet DuckDB, er blevet opdaget. For DuckDB-pakkerne blev der også oprettet versioner med ondsindet kode, der ændrer betalingsoplysninger ved kryptovaluta-transaktioner, men angrebet blev straks opdaget, og der blev kun registreret enkelte downloads af de ondsindede pakker. Ifølge foreløbige oplysninger nåede pakkerne med den ondsindede indsættelse, der blev offentliggjort under det i går annoncerede angreb på 18 NPM-pakker, over 2,5 millioner downloads.

Pakker kompromitteret i det andet phishing-angreb:

Pakke | Piket antal downloads om ugen | Antal afhængigheder | Version med ondsindet kode duckdb | 242.000 | 611 | 3.3.3 @duckdb/duckdb-wasm | 170.000 | 431 | 3.3.3 @duckdb/node-api | 81.000 | 336 | 2.2 @duckdb/node-bindings | 82.000 | 11 | 9.2 @coveops/abi | 55 | 102 | 0.1

Kilde: opennet.ru