Червь в GitHub атаковал пакеты npm с 16M загрузок

Самовоспроизводящийся червь, который перехватывает пайплайны GitHub Actions и публикует вредоносные пакеты в npm, вновь проявил себя, затронув AntV, echarts-for-react и SDK durabletask от Microsoft. Кампания Mini Shai-Hulud использует GitHub Actions и связана с группой Team PCP. Она устроена иначе, чем типичные атаки на цепочку поставок: злоумышленник не публикует напрямую после кражи учётных данных, а запускает выполнение workflow через pull request. В результате вредоносные пакеты распространяются на фоне масштабной аудитории загрузок.

Отказ от ответственности: приведенный выше контент является лишь мнением автора и не отражает позицию BingX. Он не должен рассматриваться как инвестиционный совет от BingX. Для получения более подробной информации ознакомьтесь с Условиями и положениями.