.avif)
Charlie Eriksen
Blogbeiträge von Charlie Eriksen
npx-Verwirrung: Pakete, die vergessen haben, ihren eigenen Namen zu beanspruchen
Wir haben 128 nicht beanspruchte npm-Paketnamen registriert, die offizielle Dokumentationen Entwickelnden zur npx-Ausführung empfahlen. Sieben Monate später: 121.000 Downloads. Alle hätten beliebigen Code ausgeführt.
Gefälschte Clawdbot VS Code Extension installiert ScreenConnect RAT
Eine bösartige VS Code Extension, die sich als Clawdbot ausgibt, installiert ScreenConnect RAT auf Entwickler-Maschinen.
G_Wagon: npm-Paket setzt Python-Stealer ein, der über 100 Krypto-Wallets angreift
Das npm-Paket ansi-universal-ui liefert den GWagon Infostealer, der über 100 Krypto-Wallets, Browser-Zugangsdaten und Cloud-Schlüssel angreift. Wir haben alle 10 Versionen analysiert, während der Angreifer in Echtzeit iterierte.
Phishing-Angriff: npm-Pakete, die Benutzerdefinierte Seiten zum Sammeln von Anmeldeinformationen bereitstellen
Eine gezielte Spear-Phishing-Kampagne nutzte npm-Pakete und jsDelivr als kostenlose Phishing-Infrastruktur und stellte pro Opfer angepasste Credential-Harvester bereit.
Bösartige PyPI-Pakete spellcheckpy und spellcheckerpy liefern Python RAT
Angreifer veröffentlichten gefälschte Spellchecker-Pakete auf PyPI mit offen sichtbarer Malware. Wir analysieren den Angriff und worauf Entwickelnde achten müssen.
Agent Skills verbreiten halluzinierte npx-Befehle
KI-Agentenfähigkeiten verbreiten halluzinierte npx-Befehle, wodurch echte Sicherheits- und Zuverlässigkeitsrisiken für Entwickelnde und Lieferketten entstehen.
JavaScript, MSBuild und die Blockchain: Anatomie des NeoShadow npm Supply-Chain-Angriffs
Eine detaillierte technische Analyse des NeoShadow npm Supply-Chain-Angriffs, die aufzeigt, wie JavaScript-, MSBuild- und Blockchain-Techniken kombiniert wurden, um Entwickelnde zu kompromittieren.
Shai Hulud schlägt wieder zu – Der goldene Pfad
Ein neuer Stamm von Shai Hulud wurde in freier Wildbahn beobachtet.
Erste hochentwickelte Malware auf Maven Central über Typosquatting-Angriff auf Jackson entdeckt
Wir haben die erste ausgeklügelte Malware-Kampagne auf Maven Central aufgedeckt: ein Typosquatting-Jackson-Paket, das mehrstufige Payloads und Cobalt Strike Beacons über die Spring Boot Auto-Ausführung liefert.
The Fork Awakens: Warum GitHubs unsichtbare Netzwerke die Paketsicherheit gefährden
Eine detaillierte Analyse einer GitHub-Sicherheitslücke, bei der geforkte Commits Angreifern ermöglichten, Abhängigkeiten zu fälschen. Verstehen Sie das Commit-SHA-Problem und warum Paketmanager API-Level-Schutz benötigen.
Shai Hulud 2.0: Was der unbekannte Wanderer uns über das Endspiel der Angreifer verrät
Neue Forschung zur Shai Hulud 2.0 Malware deutet darauf hin, dass der Benutzername UnknownWonderer1 mehr über das Endziel der Angreifer verrät.
Shai Hulud startet zweiten Supply-Chain-Angriff: Zapier, ENS, AsyncAPI, PostHog, Postman kompromittiert
Der Bedrohungsakteur hinter „Shai Hulud 2.0“ startete eine neue Malware-Kampagne, die die Lieferkette von Zapier, ENS Domains und weiteren kompromittierte – Secrets exponierte, bösartigen Code injizierte und eine weit verbreitete Übernahme von Entwickelnden-Umgebungen ermöglichte.
Sicherheit jetzt implementieren
Sichern Sie Ihren Code, Ihre Cloud und Ihre Laufzeit in einem zentralen System.
Finden und beheben Sie Schwachstellen schnell und automatisch.
