123 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a npm.
Campanha "Shai Hulud: The Second Coming" comprometeu contas NPM do Zapier e do ENS, injetando código self‑propagador em pacotes centrais; mais de 19.000 repositórios públicos com credenciais roubadas foram criados, requerendo rotação imediata de tokens e auditoria de dependências.
Pesquisadores relatam o botnet Tsundere, que combina pacotes npm maliciosos, instaladores disfarçados e smart contracts Ethereum para armazenar e rotear endereços de C2. O malware instala runtime Node.js legítimo, usa pm2 para persistência e pacotes como ws e ethers para comunicação via WebSocket. A técnica torna bloqueios baseados em IPs ineficazes e amplia risco em ambientes de desenvolvimento e endpoints.
Pesquisa da Socket.dev mostra campanha no npm que usa Adspect para cloaking, distinguindo pesquisadores de vítimas e entregando uma interface falsa de CAPTCHA que redireciona usuários a golpes. Sete pacotes ligados ao mesmo ator foram identificados; o atacante rotaciona destinos via serviço de cloaking.
DarkReading reporta uma campanha autorreplicante que publicou cerca de 150.000 pacotes maliciosos no registro NPM com objetivo de token farming contra o protocolo tea.xyz. O snippet não traz IOCs nem medidas de mitigação aplicadas pelo registro.
Um pacote npm malicioso com mais de 206.000 downloads, publicado como "@acitons/artifact" (typosquatting), incluía hooks post‑install para roubar tokens de ambientes GitHub Actions e enviar dados encriptados a servidores de comando e controle.
ENDER Labs identificou a campanha IndonesianFoods: mais de 43.000 pacotes spam publicados em ao menos 11 contas ao longo de quase dois anos no npm. Os pacotes usavam scripts ocultos para publicar automaticamente e referenciavam múltiplas dependências, podendo propagar-se em cascata via árvores de dependência.
A Amazon detectou a publicação automatizada de cerca de 150.000 pacotes NPM em uma campanha coordenada associada a token farming ligada ao domínio tea.xyz. O SecurityWeek reporta que o ator financeiro automatizou o pipeline de publicação, mas não há detalhes públicos sobre conteúdo malicioso nos pacotes nem sobre remoções em massa no registry.
Pesquisa aponta dezenas de milhares de pacotes NPM maliciosos que distribuem um worm autorreplicante; sinais no código e nomes aleatórios sugerem um ator indonésio. A cobertura recomenda auditoria de dependências, uso de registries privados e restrições em pipelines CI/CD.
Pesquisadores identificaram uma campanha prolongada que adicionou dezenas de milhares de pacotes falsos ao npm desde 2024 — mais de 67.000 pacotes foram detectados — em operação descrita como spam provavelmente motivado financeiramente. Isso aumenta riscos na cadeia de suprimentos de software.
Pesquisadores detectaram o pacote malicioso "@acitons/artifact" que typosquata "@actions/artifact" para executar em ambientes de build do GitHub e tentar exfiltrar tokens do ambiente de CI/CD. A reportagem descreve a intenção, mas não quantifica afetados nem relata medidas corretivas.