331 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a supply-chain.
Notepad++ corrigiu falha no seu atualizador (WinGUp) que permitia redirecionamento e download de instaladores comprometidos. Projeto adotou verificação de assinatura e passou a assinar binários com certificado GlobalSign; versão com correção é 8.8.9.
Relatório técnico identifica campanha com 19 extensões maliciosas no VS Code Marketplace que ocultavam binários em PNG e modificavam dependências (path‑is‑absolute) para executar um trojan em Rust.
Pesquisa de Mazin Ahmed mostra que extensões maliciosas podem passar por triagens e comprometer desenvolvedores. Exemplo: Piithon-linter exfiltrou variáveis de ambiente e implantou agente Merlin; sandboxing e geofencing foram usados para evitar detecção.
O grupo OceanLotus (APT32) lançou uma campanha de supply chain contra o ecossistema Xinchuang, usando spear‑phishing com .desktop, EPUBs maliciosos (explorando CVE‑2023‑52076), PDFs remotos e JARs para instalar persistência via atualizações comprometidas. Fontes não divulgam métricas de alcance ou IOCs completos.
A CISA adicionou CVE-2025-55182 — chamado React2Shell — ao seu catálogo Known Exploited Vulnerabilities após confirmação de exploração ativa. Com CVSS 10.0, a falha permite execução remota em React Server Components. Organizações que usam RSC devem seguir orientações oficiais para aplicar correções e revisar sinais de comprometimento.
Relatórios de 2025 apontam cinco vetores que transformaram a segurança web: IA em ataques, novas injeções, compromissos de supply‑chain em larga escala, abuso de registries e riscos em ferramentas de desenvolvimento. Defesa exige foco no pipeline e análise de comportamento.
Três vulnerabilidades críticas em PickleScan (CVE‑2025‑10155/56/57, CVSS 9.3) permitiam que modelos PyTorch em formato pickle fossem carregados sem análise, abrindo possibilidade de execução arbitrária de código. JFrog relatou os bugs; correção disponível na versão 0.0.31 (02/09/2025). Atualize e aplique sandboxes e formatos mais seguros.
A Kaspersky descreve Shai Hulud 2.0, um worm que infectou mais de 800 pacotes npm e combina rotinas de roubo de credenciais com um payload destrutivo que apaga arquivos quando a exfiltração falha; mais de 1.700 tentativas foram bloqueadas desde setembro, com 9,7% dos casos detectados no Brasil.
Shai‑Hulud 2.0, identificado pela Wiz.io, comprometeu mais de 30.000 repositórios via pacotes NPM envenenados (notadamente @postman/tunnel-agent v0.6.7 e @asyncapi/specs v6.8.3), roubando ~500 tokens GitHub e até 400.000 segredos detectados por Trufflehog (2,5% verificados).
O crate Rust 'evm-units' foi identificado como malicioso: decodificava uma string Base64 para obter uma URL C2 e carregava payloads adaptados ao sistema (Linux, macOS, Windows). A dependência transitiva em 'uniswap-utils' permitiu execução durante inicialização, expondo ambientes de desenvolvimento a infecções.