Die Geschichte über die Kompromittierung von 18 NPM-Paketen, die insgesamt mehr als 2 Milliarden Downloads pro Woche verzeichnen, hat eine Fortsetzung gefunden. Ein ähnlicher Zugriff wurde durch Phishing von Zugangsdaten, die die NPM-Pakete des Projekts DuckDB betreffen, entdeckt. Für die DuckDB-Pakete wurden ebenfalls Versionen mit bösartigem Code erstellt, die Zahlungsinformationen bei Krypto-Transaktionen manipulieren. Die Attacke wurde jedoch sofort erkannt, und es gab nur eine geringe Anzahl von Downloads der bösartigen Pakete. Vorläufigen Angaben zufolge wurden die Pakete mit schädlichem Code, die im Zuge des gestern angekündigten Angriffs auf 18 NPM-Pakete veröffentlicht wurden, über 2,5 Millionen Mal heruntergeladen.
Pakete, die in der zweiten Phishing-Attacke kompromittiert wurden:
Quelle: opennet.ru
