Масштабный взлом npm: хакеры атакуют 2 млрд загрузок
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Более дюжины популярных npm-пакетов, общее число загрузок которых достигает двух миллиардов в неделю, оказались скомпрометированы в результате масштабной атаки на программную цепочку поставок. Эта атака была нацелена на пользователей криптовалют.
Исследователи из компании Aikido Security обнаружили, что учетная запись разработчика под ником Qix (его настоящее имя Josh Junon) была взломана. После этого злоумышленники начали публиковать вредоносные обновления этих npm-пакетов. За менее чем час вышло несколько заражённых версий.
Позднее сам Junon подтвердил взлом через соцсеть Bluesky и принёс извинения за произошедшее. Он объяснил, что дело началось с убедительного фишингового письма, напоминающего официальное уведомление о сбросе двухфакторной аутентификации (2FA). Ошибка в распознавании подделки привела к захвату контроля над его аккаунтом.
По словам Junon, атака затронула только пакеты на npm — популярной платформе для распространения программных компонентов JavaScript. Он уже обратился в службу поддержки npm за помощью в восстановлении доступа и пообещал оперативно исправить проблему.
Информационный портал The Hacker News опубликовал список из 20 пострадавших пакетов, чей совокупный еженедельный оборот превышает 2 миллиарда загрузок. Эксперты CyberInsider назвали случившееся «самым масштабным инцидентом компрометации цепочки поставок в истории npm».
Заражённые пакеты распространяли вредоносное ПО, направленное на кражу криптовалют. Этот вредонос предназначался для того, чтобы подменять адрес криптокошелька получателя на счет, контролируемый атакующими при переводе средств. Среди затронутых валют называются Ethereum, Solana, Bitcoin, Tron, Litecoin и Bitcoin Cash.
Данная ситуация вновь демонстрирует: даже опытные и осторожные разработчики могут стать жертвами продуманной атаки, если потеряют бдительность хотя бы на короткое время.
PEREC.RU
1500+ знаков
npm снова оказался в центре кибердрамы, которой мог бы позавидовать даже Голливуд, если бы актёры были чуть менее деревянные. Более дюжины широко используемых библиотек JavaScript — те самые npm-пакеты, жизненно необходимые тысячам проектов — стали каналами распространения вредоноса. Два миллиарда загрузок каждую неделю. Вроде звучит дико — но в мире, где безопасность делегируется автозагрузкам и чужим скриптам, это уже рабочая рутина.
Главный герой — Qix (Josh Junon), невидимый маг open source, скучавший спокойно у себя на проектах. Потом вдруг — фишинговое письмо (ну надо же, как креативно...) о сбросе двухфакторной аутентификации, и вот уже Junon сам пишет в Bluesky извинения и сетует на тяжёлую неделю. Всё по классике: достаточно отвлечься — и твой рабочий процесс превращают в площадку для охоты на криптовалютных одержимых.
Но самое прекрасное тут — скорость и охват компрометации: менее часа — и пачка заражённых обновлений летит миллионам пользователей. Кто-то назовёт это «историческим прецедентом» (привет CyberInsider), а кто-то просто ещё одним эпизодом банального отсутствия контроля. Реальность проста: потеря внимания одного — и миллионы становятся целью. Это не «сбой системы», это система.
Основная задача вредоноса — переправлять криптовалюто-адреса пользователей внимательным хакерам. Всё те же Ethereum, Solana, Bitcoin, Tron — полный комплект. Но, боюсь, вывод здесь один: человеческий фактор рулит. Пока разработчики борются за восстановление доступа, мы, жующие аналитики, вяло помаргиваем и жмём плечами. Чем закончится? Кто-то напишет отчёт, остальные забудут. Следующая серия — скоро на экранах.
