Angreifer haben die Kontrolle über die NPM-Pakete des DuckDB-Projekts übernommen und bösartige Versionen veröffentlicht.

Die Geschichte über die Kompromittierung von 18 NPM-Paketen, die zusammen mehr als 2 Milliarden Downloads pro Woche verzeichnen, hat eine Fortsetzung erhalten. Ein ähnlicher Zugriff über Phishing von Anmeldedaten für das NPM-Paketprojekt DuckDB wurde festgestellt. Auch für die DuckDB-Pakete wurden Versionen mit schädlichem Code erstellt, die bei Zahlungen mit Kryptowährungen Anmeldedaten fälschen, jedoch wurde der Angriff sofort erkannt und es wurden nur einige Downloads der schädlichen Pakete verzeichnet. Vorläufigen Angaben zufolge wurden die während des gestern angekündigten Angriffs auf 18 NPM-Pakete veröffentlichten Pakete mit schädlichen Einfügungen mehr als 2,5 Millionen Mal heruntergeladen.

Pakete, die in einem zweiten Phishing-Angriff kompromittiert wurden:

Paket | Spitzenzahl der Downloads pro Woche | Anzahl der Abhängigkeiten | Version mit schädlichem Code | duckdb | 242.000 | 611 | 3.3.3 | @duckdb/duckdb-wasm | 170.000 | 43 | 1.3.3 | @duckdb/node-api | 81.000 | 33 | 6.2.2 | @duckdb/node-bindings | 82.000 | 11 | 2.9.2 | @coveops/abi5 | 5102 | 0.0.1

Quelle: opennet.ru