#supply-chain
-
Утёкший мастер-ключ LiteLLM обернулся отравлением релиза Python-пакета
Случайно опубликованный в мае мастер-ключ так и не отозвали — и в октябре злоумышленник использовал его, чтобы захватить конвейер релизов LiteLLM и выложить вредоносную версию пакета.
-
Взлом учётной записи: пять релизов OVHcloud CLI подменили зловредом
Злоумышленник через угнанный аккаунт контрибьютора подменил архивы в пяти релизах утилиты командной строки OVHcloud. Вредоносная сборка воровала секреты с диска и была доступна в GitHub всего 94 минуты.
-
SEO-плагин Rank Math PRO раздавал бэкдор прямо из официального канала обновлений
Копии платного плагина Rank Math PRO, скачанные или полученные в виде обновления с 20:02 UTC 15 октября по 07:12 UTC 16 октября, содержали вредоносный код. Сайты, где такую сборку установили и активировали, следует считать скомпрометированными.
-
Фальшивый Web3-акселератор раздавал вредоносные npm-пакеты под видом бесплатных AI-кредитов
Группа, выдававшая себя за венчурный акселератор для криптостартапов, распространяла инфостилеры и бэкдоры через npm, обещая бесплатные кредиты на Claude и Gemini — и попутно перехватывала трафик AI-агентов.
-
Вредоносный npm-пакет imgdecode прячет загрузчик шелл-кода в нативном аддоне Windows
Исследователи SafeDep обнаружили в реестре npm пакет imgdecode — часть долгоиграющей кампании MALFEX, нацеленной на компрометацию систем Windows. Несмотря на огласку, пакет остаётся доступен и уже скачан 979 раз.
-
Скомпрометированный ключ ConnectWise открыл доступ к 173 арендаторам Microsoft 365
Злоумышленники воспользовались украденной учётной записью сервиса резервного копирования ConnectWise Cloud Backup, чтобы войти в среды Microsoft 365 его клиентов. Доступ наследует все широкие права легитимного приложения.
-
Атака на серверы обновлений AOMEI Backupper: бэкдор поставляли окнами по 5–10 минут
С мая по июль 2026 года злоумышленники несколько раз подменяли файлы обновлений на серверах AOMEI, так что программа резервного копирования для Windows скачивала бэкдор только в эти короткие интервалы.
-
Бэкдор в открытых весах: чем опасны «расцензуренные» ИИ-модели
Любая модель с отредактированными весами может нести скрытую закладку. Исследователи собрали отравленную модель почти бесплатно и заставили её выкрасть учётные данные проекта прямо через Codex CLI.
-
Дешёвые Android-смартфоны поступают в продажу с предустановленным вредоносом
Bitdefender обнаружил встроенную в прошивку бюджетных Android-устройств вредоносную программу Midnight Mimosa: она превращает телефоны в узлы прокси-сетей и инструменты рекламного мошенничества.
-
Ledger подтвердил: аппаратная «закладка» в кошельках крала криптовалюту
Часть устройств Ledger, продававшихся через малайзийского ресейлера CryptoBilis, оказалась с внедрённым шпионским чипом, который перехватывал seed-фразу и выводил средства владельцев.
-
Скомпрометированные GitHub Actions вернули в строй вместе с вредоносным кодом
Два сторонних GitHub Actions, заражённых в майской кампании Mini Shai-Hulud, снова стали доступны и больше недели раздавали старую вредоносную нагрузку.
-
Шнайер: вредоносные npm-пакеты, обходящие защиту, напоминают работу спецслужб
Брюс Шнайер обратил внимание на набор вредоносных пакетов в npm, устроенных так, чтобы обходить средства защиты. По его оценке, уровень исполнения намекает на государство, хотя прямых доказательств и атрибуции нет.
-
Вредоносное ПО впервые проникло в реестр HashiCorp через фальшивые Terraform-провайдеры
Исследователи обнаружили Go-вредонос, распространявшийся через два Terraform-провайдера и два Go-модуля в реестре HashiCorp. Это первый случай использования централизованного репозитория HashiCorp как канала доставки вредоносной нагрузки.
-
Взлом приложений Ribon обернулся утечкой данных клиентов магазинов на BigCommerce
Платформа BigCommerce предупредила продавцов об утечке: злоумышленники завладели учётными данными сторонних приложений Ribon и внедрили вредоносные скрипты в интернет-магазины.
-
Северокорейская Jade Sleet взломала индийского ИТ-провайдера бэкдорами FLATROOF и ROOFDECK
SentinelOne связала группировку Jade Sleet со взломом небольшой ИТ-компании в Индии через macOS-бэкдоры, известные по атаке на мост KelpDAO. Атака вновь показала, что разработчики остаются главной мишенью КНДР.
-
Вредоносные npm-пакеты обходят защиту, прячась в обычном коде библиотеки
Пакет indexed-btree выдаёт себя за популярную библиотеку sorted-btree и скрывает вредоносный загрузчик не в скриптах установки, а в штатном методе, который вызывается при обычной работе приложения.
-
Plugin4Shell: подмена «закреплённого» плагина в четырёх ИИ-агентах для кодинга
Компания Air Security описала уязвимость, позволяющую владельцу репозитория плагина подсунуть ИИ-агенту вредоносный код даже там, где плагин привязан к конкретной проверенной версии.
-
PhantomRaven: npm-стилер, написанный с помощью ИИ ради охоты за багбаунти
CrowdStrike связала финансово мотивированного злоумышленника с вредоносными npm-пакетами, которые крали токены разработчиков. По оценке аналитиков, код стилера почти наверняка сгенерирован большой языковой моделью.
-
CrowdSec подтвердила утечку исходного кода из приватных репозиториев
Компания CrowdSec заявила об утечке части исходного кода, произошедшей в мае 2026 года. По её оценке, клиентские данные не пострадали, а вектором проникновения, вероятно, стала скомпрометированная библиотека TanStack.
-
Атака на цепочку поставок Brevo: похищенный ключ Cloudflare заражал сайты клиентов
Злоумышленники украли API-ключ Cloudflare и через пограничный воркер внедряли скрипты ClickFix в сайты Brevo и виджеты, встроенные на страницах клиентов. Пострадать могли до 100 тысяч сайтов.
- Дальше