В июле экосистема npm подверглась двум атакам с разницей в несколько дней. Примечательно, что обе атаки были направлены не на криптовалюту напрямую, а на компьютер разработчика. Потому что там - настоящие ключи.
Что произошло. 8 июля, по данным StepSecurity, злоумышленник добавил вредоносный коммит в репозиторий пакета @injectivelabs/sdk-ts - это TypeScript SDK для блокчейна Injective, который скачивают около 175 тысяч раз в месяц. Заражённая версия успела распространиться 310 раз и автоматически подтянулась в 18 связанных пакетов. Цель - кража ключей от кошельков.
Через пару дней, 11 июля, был скомпрометирован пакет jscrambler и его плагины: злоумышленник, воспользовавшись украденными учетными данными для публикации, опубликовал версии с нативными бинарниками, которые запускались при установке и охотились за секретными данными, облачными токенами, криптокошельками и данными ИИ-помощников. Радует, что вендоры (Socket, StepSecurity, сам Jscrambler) обнаружили это за считаные минуты и в тот же вечер выпустили чистую версию.
И на этом фоне - хорошая новость: npm v12, по сообщениям, выйдет в июле и по умолчанию будет блокировать install-скрипты, git-зависимости и удалённые источники. Именно те postinstall-хуки, через которые весь год и проникали в систему.
Аналогия. Вы заказали кирпичи для дома, а в одном поддоне оказался человек, который ночью тихо вынес из вашего гаража всё ценное. Дом ещё не построен, а вас уже обокрали на этапе строительства.
Выводы. Обычным пользователям криптовалют: храните крупные суммы в аппаратных кошельках, а не в программных на компьютере, где выполняется npm install.
Бизнесу и директорам по информационной безопасности: атаки на цепочку поставок ПО - системная проблема. Что обсудить: привязку версий и lock-файлы, изоляцию CI/CD, запрет install-скриптов (в помощь npm v12), ротацию токенов, мониторинг зависимостей. И правило гигиены:
npm install на компьютере с реальными секретными данными - это доверие ко всей цепочке, которую один украденный токен делает враждебной.Мой комментарий. Цепочка поставок - это марафон без финиша. Тренд никуда не денется, но защита становится более зрелой: то, что npm наконец-то по умолчанию отключает install-скрипты, - маленькая тихая победа. В ближайший год ждите перехода к принципу «безопасность по умолчанию» в пакетных менеджерах. Давно пора.
Автор: Беляев Дмитрий
〰️〰️〰️
📝Связаться с Дмитрием
〰️〰️〰️
👆👆👆👆👆
✔️Подпишись на канал🔥
🕒 [Ранний доступ к подкастам] 🔥
▶️ [Чат]
🛒 [Все проекты] 🔥
🟡 [Менторство] 🔥
⚡️ [Буст BS]
🤔 [Стикеры]
🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥
#supplychain #npm #devsecops #криптовалюта #кибербезопасность