Største forsyningskjedeangrepet i historien
Hackere har kompromittert mye brukte JavaScript-programvarebiblioteker i det som omtales som det største forsyningskjedeangrepet i historien. Den injiserte skadelig programvaren er angivelig designet for å stjele kryptovaluta ved å bytte lommebokadresser og avlytte transaksjoner.
Angrepet på Node Package Manager (NPM)
Ifølge flere rapporter mandag, brøt hackere seg inn i Node Package Manager (NPM)-kontoen til en kjent utvikler og la inn skadelig programvare i populære JavaScript-biblioteker som brukes av millioner av apper. Den ondsinnede koden bytter eller kaprer kryptovaluta-lommebokadresser, noe som setter prosjekter verdt milliarder av nedlastinger i fare.
«Det pågår et storskala forsyningskjedeangrep: NPM-kontoen til en anerkjent utvikler har blitt kompromittert,» advarte Ledger sin teknologidirektør Charles Guillemet mandag. «De berørte pakkene har allerede blitt lastet ned over 1 milliard ganger, noe som betyr at hele JavaScript-økosystemet kan være i fare.»
Berørte pakker og risiko
Angrepet målrettet pakker som [navn på pakker], og [navn på pakker] — små verktøy begravd dypt i avhengighetstrærne til utallige prosjekter. Sammen lastes disse bibliotekene ned mer enn en milliard ganger hver uke, noe som betyr at selv utviklere som aldri har installert dem direkte kan være utsatt.
NPMs rolle og angrepets natur
NPM fungerer som en appbutikk for utviklere — et sentralt bibliotek hvor de deler og laster ned små kodepakker for å bygge JavaScript-prosjekter. Angriperne ser ut til å ha plantet en krypto-clipper, en type skadelig programvare som stille erstatter lommebokadresser under transaksjoner for å omdirigere midler.
Beskyttelse og fremtidige trusler
Sikkerhetsforskere advarte om at brukere som er avhengige av programvare-lommebøker kan være spesielt sårbare, mens de som bekrefter hver transaksjon med en maskinvare-lommebok er bedre beskyttet. Det er fortsatt uklart om den skadelige programvaren også prøver å stjele frøfraser direkte. Dette er en utviklende historie, og ytterligere informasjon vil bli lagt til etter hvert som den blir tilgjengelig.
