Случилась самая масштабная атака на экосистему JavaScript: хакеры через фишинг увели npm-аккаунт популярного мейнтейнера qix и запушили обновления в 18 ключевых пакетов (chalk, debug, strip-ansi, color-convert и др.), суммарно на 2,6 млрд загрузок в неделю

Атакующие вставили в обновления пакетов крипто-«клиппер», который выполняется в браузере у пользователей сайтов/приложений с уязвимыми версиями и перехватывает трафик, подменяя адреса кошельков на свои

Ниже представлен точный перечень скомпрометированных пакетов и их вредоносных версий, которые необходимо немедленно удалить из всех сред, включая локальные машины разработчиков, CI/CD пайплайны и производственные серверы:

ansi-styles@6.2.2
debug@4.4.2
chalk@5.6.1
supports-color@10.2.1
strip-ansi@7.1.1
ansi-regex@6.2.1
wrap-ansi@9.0.1
color-convert@3.1.1
color-name@2.0.1
is-arrayish@0.3.3
slice-ansi@7.1.1
color@5.0.1
color-string@2.1.1
simple-swizzle@0.2.3
supports-hyperlinks@4.1.1
has-ansi@6.0.1
chalk-template@1.1.1
backslash@0.2.1
error-ex@1.3.3

Подробный разбор атаки тут

@IT_Portal