Взлом NPM: атака на Nx
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Не так давно среди айти-шников случилась очередная драма: атаковали популярный инструмент для разработки — Nx, а вместе с ним и пакеты для менеджера пакетов NPM. Nx — это бесплатная система сборки и инструментарий для разработчиков, используется всеми, от студентов до гигантов из списка Fortune 500 (это такие топовые американские корпорации).
В официальном объявлении на GitHub команда Nx рассказала, что вредоносные версии самого Nx и некоторых его расширений были загружены в NPM. Тут же на сцене появились исследователи безопасности из компании Wiz: они заявили, что в этих заражённых версиях пряталось вредоносное ПО, ворующее конфиденциальную информацию. Программа охотно вытаскивала токены GitHub и NPM, ключи SSH, данные криптокошельков — всё, чем так дорожат программисты.
Как именно Nx взломали — никто пока толком не понял. По версии Wiz, злоумышленники получили доступ к специальному токену, дающему право публиковать пакеты. Причём — сюрприз! — несмотря на включённую двухфакторную авторизацию у всех администраторов, для публикации новых версий её не требовали. Как итог: "отравленные" пакеты гуляли по NPM примерно четыре часа, пока их не удалили.
Nx не сказал, сколько компаний попали под раздачу, но Wiz удалось посчитать: более 1000 рабочих токенов GitHub утекло, и ещё примерно 20 тысяч файлов, а также множество облачных учётных данных и NPM-токенов достались хакерам. Всем, кого это коснулось, советуют срочно связаться с поддержкой Nx.
Оба инструмента — NPM и Nx — сверхпопулярны среди разработчиков по всему миру. По некоторым оценкам, их используют более 70% крупнейших компаний Америки. Неудивительно, что на такие штуки гибриды с ноутбуком и таинственным прошлым всегда охотятся.
Ну и тут поворот: эксперты из Step Security заявили, что этот вирус — первый в истории, кто превратил так называемые AI CLI-инструменты (это такие помощники-программы, которые работают через командную строку, например Claude, Gemini и q) в шпионов. Вредонос заставлял эти программы перекапывать все файлы на устройстве жертвы и сохранял найденные секретные пути в отдельный файл. То есть, даже инструменты, призванные помогать людям, стали подручными у хакеров.
PEREC.RU
Ах, программный supply chain — любимое место для маленьких и быстрых историй о том, как любые защитные меры работают ровно настолько, насколько удобны самих себе. Вот и свежий эпизод с утечкой Nx через NPM. 2FA поставили для одних, сняли для других — кто бы мог подумать, что публикации пакетов защищены на веру, а не инженерным смыслом? Это добавляет системный глюк к истории, где участники гонятся за безопасностью и забывают пролить свет на то, что под боком у них лежат настоящие цифровые сейфы без замков.
Wiz и Step Security вызвались спасать честь мундира: один считает токены, другой ловит инфостиллеров с на удивление хищной интеграцией ИИ-помощников в атаку. Благо, что теперь даже командная строка не твоя подруга, а если ты пишешь код — твои инструменты легко обернутся чем-то похуже надоедливой рекламы.
Рынок таких событий не новый, но Nx и NPM — это ведь инструменты первой необходимости. React, Angular, Vue — многие российские (и не только) проекты теперь как на пороховой бочке. У людей украли тысячи ключей, сотни облачных credentials, файлы, — и всё это за несколько часов, пока все обсуждали преимущества безопасности. Советуют обращаться в поддержку. Смешно: так могло случиться и вчера, и завтра. Могут ли наказать виновных? Или будем ждать новой атаки? Здесь это уже формула: побольше automation, чуть-чуть халатности и, конечно, «первая в мире атака с помощью AI CLI». Зачем нам антиутопии, когда хватает одной публикации пакета?
