Пакет npm под названием "tensorlake", представляющий собой набор инструментов разработки на TypeScript для приложений, песочниц и облачных сервисов Tensorlake, стал жертвой атаки на цепочку поставок ChainDrop / Shai-Hulud. Вредоносная версия 0.5.144 содержит зашифрованное вредоносное ПО, которое собирает учетные данные пользователей, эксфильтрует секретную информацию, устанавливает постоянное присутствие на системе и выполняет удаленно предоставленный код.

Эксперты из компании Socket, занимающейся вопросами кибербезопасности, сообщили, что вредоносный код был внедрен в официальный репозиторий npm, что ставит под угрозу пользователей, использующих данный пакет в своих проектах. Атака на цепочку поставок представляет собой серьезную угрозу, так как злоумышленники могут получить доступ к системам и данным, используя доверие к широко распространенным библиотекам и инструментам.

Пользователям, использующим Tensorlake, рекомендуется немедленно обновить свои версии пакета до безопасной версии или удалить его, чтобы избежать потенциальных рисков. Также стоит внимательно следить за своим окружением и проверять наличие подозрительной активности.

Это не первый случай компрометации npm-пакетов, и он подчеркивает необходимость повышения уровня безопасности в экосистеме разработки программного обеспечения. Разработчики должны быть особенно осторожны при выборе библиотек и пакетов, на которые они полагаются в своих проектах.

Сообщается, что исследователи продолжают анализировать последствия данной атаки и разрабатывать меры для защиты от подобных угроз в будущем. Важно, чтобы сообщества разработчиков и компании, работающие в области кибербезопасности, объединяли усилия для повышения осведомленности о подобных рисках.

Источник новости:
The Hacker News

Читать полностью