Angripare har fått kontroll över NPM-paketen för projektet DuckDB och publicerat skadliga utgåvor.

Historien om kompromissförhållandet med 18 NPM-paket, som totalt har mer än 2 miljarder nedladdningar i veckan, har fått en fortsättning. En liknande kapning har identifierats genom phishing av inloggningsuppgifter för NPM-paketen i projektet DuckDB. För DuckDB-paketen har det också skapats versioner med skadlig kod som manipulerar uppgifter vid betalningar med kryptovalutor, men attacken upptäcktes snabbt och endast ett fåtal nedladdningar av de skadliga paketen registrerades. Enligt preliminära uppgifter hade paketen med skadlig kod som publicerades under gårdagens annonserade attack på 18 NPM-paket laddats ner över 2,5 miljoner gånger.

Paket som kompromitterades i den andra phishingattacken:

PaketVeckans toppantal nedladdningarAntal beroendenVersion med skadlig kod duckdb242 tusen611.3.3 @duckdb/duckdb-wasm170 tusen431.3.3 @duckdb/node-api81 tusen336.2.2 @duckdb/node-bindings82 tusen11.29.2 @coveops/abi55102.0.1

Källa: opennet.ru