#npm
-
GitHub запустил npm-файрвол, блокирующий вредоносные пакеты до установки
GitHub открыл публичную предварительную версию пакетного файрвола для npm. Он проверяет зависимости по набору политик и не пропускает подозрительные пакеты на этапе установки.
-
Файл AGENTS.md в папке «Загрузки» угоняет ИИ-агентов для кода
Исследователи обнаружили на компьютере клиента вредоносный файл инструкций AGENTS.md, который заставил ИИ-агента установить фальшивый npm-пакет. Браузеры сохраняют загрузки в эту папку автоматически — а агенты читают оттуда инструкции без вопросов.
-
Фальшивый Web3-акселератор раздавал вредоносные npm-пакеты под видом бесплатных AI-кредитов
Группа, выдававшая себя за венчурный акселератор для криптостартапов, распространяла инфостилеры и бэкдоры через npm, обещая бесплатные кредиты на Claude и Gemini — и попутно перехватывала трафик AI-агентов.
-
Вредоносный npm-пакет imgdecode прячет загрузчик шелл-кода в нативном аддоне Windows
Исследователи SafeDep обнаружили в реестре npm пакет imgdecode — часть долгоиграющей кампании MALFEX, нацеленной на компрометацию систем Windows. Несмотря на огласку, пакет остаётся доступен и уже скачан 979 раз.
-
DirtyBlanket: поддельные пакеты Express в npm разносят самораспространяющийся Linux-червь
Учётная запись dirtyblanket за 33 минуты опубликовала в npm девять вредоносных пакетов, маскирующихся под Express и React. Установка любого из них на Linux запускает червя, который крадёт ключи и токены и заражает новые машины.
-
Скомпрометированные GitHub Actions вернули в строй вместе с вредоносным кодом
Два сторонних GitHub Actions, заражённых в майской кампании Mini Shai-Hulud, снова стали доступны и больше недели раздавали старую вредоносную нагрузку.
-
Шнайер: вредоносные npm-пакеты, обходящие защиту, напоминают работу спецслужб
Брюс Шнайер обратил внимание на набор вредоносных пакетов в npm, устроенных так, чтобы обходить средства защиты. По его оценке, уровень исполнения намекает на государство, хотя прямых доказательств и атрибуции нет.
-
Вредоносное ПО впервые проникло в реестр HashiCorp через фальшивые Terraform-провайдеры
Исследователи обнаружили Go-вредонос, распространявшийся через два Terraform-провайдера и два Go-модуля в реестре HashiCorp. Это первый случай использования централизованного репозитория HashiCorp как канала доставки вредоносной нагрузки.
-
Вредоносные npm-пакеты обходят защиту, прячась в обычном коде библиотеки
Пакет indexed-btree выдаёт себя за популярную библиотеку sorted-btree и скрывает вредоносный загрузчик не в скриптах установки, а в штатном методе, который вызывается при обычной работе приложения.
-
Северокорейская группа WaterPlum заразила 30 000 устройств по всему миру
Совместное предупреждение спецслужб четырёх стран сообщает, что хакеры из КНДР похитили криптовалюту более чем на 10,7 млн долларов, охотясь за соискателями работы под видом фальшивых собеседований.
-
PhantomRaven: npm-стилер, написанный с помощью ИИ ради охоты за багбаунти
CrowdStrike связала финансово мотивированного злоумышленника с вредоносными npm-пакетами, которые крали токены разработчиков. По оценке аналитиков, код стилера почти наверняка сгенерирован большой языковой моделью.
-
Бинарный кэш Nix — это три функции, а значит им может быть что угодно
Фарид Закария показывает, что для роли бинарного кэша Nix достаточно отвечать на три HTTP-запроса — и подстверждает это, превратив в substituter GitHub Pages, npm и даже DNS.
-
14 троянских npm-пакетов устанавливают Linux-бэкдор RedC2 4.0 с ИИ-управлением
Исследователи Trend Micro нашли набор npm-пакетов, которые под видом календарных утилит скрытно разворачивают Linux-имплант RedC2 4.0. Достаточно одного импорта где угодно в дереве зависимостей — даже транзитивного, — чтобы запустить полезную нагрузку.
-
Червь ChainDrop заразил более 1300 npm-пакетов с 2 млрд загрузок в месяц
Самораспространяющаяся вредоносная программа ChainDrop скомпрометировала популярные пакеты npm, включая утилиты кэширования Keyv и Cacheable, и крадёт учётные данные разработчиков и облачных сервисов.
-
18 вредоносных npm-пакетов атакуют разработчиков инструментов Alibaba
Исследователи обнаружили целевую атаку на цепочку поставок: под видом приватных пакетов Alibaba распространяется кроссплатформенный троян удалённого доступа, нацеленный на китайскоязычных разработчиков.
-
Amazon приписала взлом npm-пакетов debug и chalk северокорейской группе Sapphire Sleet
Спустя десять месяцев Amazon связала сентябрьскую атаку 2025 года на популярные npm-пакеты с КНДР. Однако опубликованных доказательств оказалось меньше, чем громкого заявления.
-
Два пакета @joyfill в npm заражены: RAT запускается прямо при импорте
В бета-версиях npm-пакетов @joyfill/layouts и @joyfill/components обнаружен вредоносный код, который загружает троян удалённого доступа через блокчейн-транзакции. По данным Socket, за атакой стоят северокорейские хакеры.
-
Семь вредоносных npm-пакетов для Vite использовали блокчейн как C2-сервер
Исследователи обнаружили кампанию ViteVenom — семь вредоносных npm-пакетов, атакующих экосистему Vite и использующих блокчейн-инфраструктуру для управления заражёнными системами.
-
В npm-пакеты AsyncAPI внедрили троян для кражи учётных данных
Злоумышленники опубликовали пять вредоносных версий пакетов AsyncAPI в реестре npm, распространяя через них троян удалённого доступа с функциями кражи данных. Атака затронула цепочку поставок открытого ПО.
-
148 npm-пакетов превратили браузеры студентов в DDoS-ботнет
Исследователи JFrog обнаружили кампанию из 148 npm-пакетов, замаскированных под студенческие веб-прокси, которые около двух недель в мае превращали браузеры посетителей в узлы DDoS-ботнета.
- Дальше