🔍 Исследователи обнаружили массовую кампанию по размещению вредоносных библиотек в популярных экосистемах:
🧪 Что произошло:
• На npm опубликованы фейковые версии библиотек вроде Hardhat, крадущие приватные ключи и
.env • В PyPI появились клоны
requests, urllib3 и др., с вредоносными вставками • В RubyGems — более 700 пакетов, использующих тайпосквоттинг (`activesupportt`,
httpartyy и т.д.)🎯 Цель — разработчики. Пакеты собирают:
– мнемоники
– приватные ключи
– конфиги AWS/GCP
– системную информацию
🛡 Что делать:
– Проверяй названия пакетов (тайпосквоттинг — главный приём)
– Запускай
pip audit, npm audit, bundler audit – Используй виртуальные окружения и минимум прав
– Подпиши зависимости, где это возможно (например, через Sigstore)
📌 Подробнее