123 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a npm.
Pacote NPM malicioso 'buildrunner-dev' usa esteganografia para esconder malware em imagens PNG, distribuindo o RAT Pulsar e burlando antivírus. A campanha explora typosquatting de pacotes abandonados.
Worm SANDWORMMODE ataca o ecossistema npm com 19 pacotes maliciosos que roubam segredos de dev/CI e se propagam automaticamente. A campanha usa typosquatting, GitHub Actions envenenadas e agora também mira ferramentas de IA como Claude Code e Cursor.
Um token de publicação npm da ferramenta de IA para desenvolvedores Cline foi comprometido, permitindo que atacantes publicassem uma versão maliciosa por 8 horas. O ataque injetou um script para instalar um pacote não autorizado, destacando riscos na cadeia de suprimentos de desenvolvimento.
Análise da JFrog e cobertura do Cyber Security News descrevem o pacote NPM 'duer‑js' que instala o 'Bada Stealer', um stealer multifásico que injeta o Discord, rouba tokens, senhas e carteiras cripto; a limpeza exige passos manuais além da desinstalação.
Operação denominada 'graphalgo' usa falsas vagas e repositórios públicos (GitHub, npm, PyPI) para distribuir RATs a desenvolvedores de cripto; pacote 'bigmathutils' teve >10.000 downloads antes de ser weaponizado, segundo ReversingLabs.
Pesquisadores detectaram pacotes comprometidos no npm e PyPI que entregam wallet stealers e permitem execução remota. O feed cita versões comprometidas do @dydxprotocol/v4-client-js (3.4.1, 1.22.1, 1.15.2, 1.0.31); detalhes PyPI e IOCs não constam no resumo.
Pesquisadores identificaram um pacote npm (ansi-universal-ui) que disfarça o framework G_Wagon: um ladrão de informações que baixa um runtime Python, injeta uma DLL em navegadores e exfiltra credenciais para buckets Appwrite. Versões maliciosas relatadas incluem 1.3.5–1.4.1.
Vulnerabilidades em pacotes que implementam React Server Components (react-server-dom-*) permitem ataques de negação de serviço. Mantenedores liberaram correções (19.0.4 / 19.1.5 / 19.2.4); equipes devem atualizar e aplicar limites de taxa.
Relatos técnicos indicam que as defesas do npm introduzidas após os ataques Shai‑Hulud podem ser contornadas por dependências referenciadas via Git. A lacuna permite entrega de código fora das proteções aplicadas a pacotes do registro, exigindo revisão de uso de dependências Git e validação de proveniência.
Pesquisadores da EndorLabs descobriram ao menos oito pacotes npm maliciosos direcionados ao ecossistema de nodes comunitários da n8n. Um pacote disfarçado como integração do Google Ads exfiltrava credenciais OAuth durante a execução de workflows; o principal artefato teve mais de 3.400 downloads semanais antes da remoção. EndorLabs recomenda priorizar nodes oficiais, auditar pacotes e monitorar tráfego de saída.