3 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a maven.
Um pacote malicioso publicado no Maven Central usou typosquatting de namespace para imitar Jackson e executava código malicioso em aplicações Spring Boot. O artefato baixava payloads (Cobalt Strike) e usava ofuscação e nomes typosquat para persistência e evasão.
Campanha Shai Hulud v2 compromete 834 pacotes em npm e Maven e utiliza GitHub Actions para colher tokens (GITHUB_TOKEN, NPM_TOKEN, AWS_ACCESS_KEY_ID), instalar runtimes (Bun) e exfiltrar segredos, incluindo rotina destrutiva quando propagação falha.
A segunda onda da campanha Shai-Hulud, que já comprometeu mais de 830 pacotes no npm, foi detectada no ecossistema Maven em um artefato org.mvnpm:posthog-node:4.18.1 contendo os componentes 'setup_bun.js' e 'bun_environment.js', segundo a Socket Research Team reportada pelo The Hacker News. Fontes não detalham vetores iniciais ou extensão em produção.