A Large-Scale Supply Chain Attack Distributed Over 800 Malicious NPM Packages
2022/03/29 TheHackerNews — RED-LILI と呼ばれる脅威アクターが、約800の悪質なモジュールを公開したが、NPM (Node Package Manager) パッケージ・リポジトリを標的として進行中の、大規模なサプライチェーン攻撃キャンペーンに関与していることが明らかになった。イスラエルのセキュリティ企業である Checkmarx は、「一般的に、攻撃者は匿名の使い捨ての NPM アカウントを使用し、そこから攻撃を開始する。今回の攻撃者は、NPM アカウントの作成プロセスを完全に自動化し、パッケージごとに１つの専用アカウントを開設していたようであり、新しい悪意のパッケージを一括して発見することを難しくしていた」と述べている。
Continue reading “悪意の NPM パッケージを量産：サプライチェーン攻撃のための驚異のシステム”25 Malicious JavaScript Libraries Distributed via Official NPM Package Repository
2022/02/22 TheHackerNews — 悪意を持った 25種類の JavaScript ライブラリが、公式の NPM パッケージ・レジストリに新たに登録され。感染したシステムから Discord トークンや環境変数を盗みだそうとしている。DevOps セキュリティ企業である JFrog は、「問題のライブラリは typosquatting 技術を活用し、colors.js／crypto-js／discord.js／marked／noblox.js といった正規パッケージを装っているが、これらのパッケージは “ビギナー・マルウェア作者の作品” だ」と指摘している。
Continue reading “25 種類の 悪意の JavaScript ライブラリ：NPM 公式パッケージ・レジストリ”Two NPM Packages With 22 Million Weekly Downloads Found Backdoored
2021/11/07 TheHackerNews — オープンソース・ソフトウェアのリポジトリを標的とした、新たなサプライチェーン攻撃が発生した。毎週の累積ダウンロード数が、約2,200万にも上る人気の NPM パッケージ２つが、開発者のアカウントへの不正アクセスにより、悪意のコードで侵害されていたことが判明した。
Continue reading “Node.js NPM パッケージにバックドア：2200万回／週も DL される人気のライブラリ”Critical Bug Reported in NPM Package With Millions of Downloads Weekly
2021/09/13 TheHackerNews — JavaScript 用の NPM パッケージ Pac-Resolver に存在する、深刻なリモートコード実行の脆弱性に対する修正プログラムが提供された。さまざまな局面で利用される Pac-Resolver だが、この脆弱性が悪用されると、HTTP リクエストが送信されるたびに、Node.js アプリケーション内で悪意のコードが実行される可能性がある。この脆弱性 CVE-2021-23406 は、CVSS 値が 8.1 であり、Pac-Resolver の 5.0.0 以前のバージョンに影響する。
Continue reading “Node.js NPM の Proxy Auto-Configuration パッケージに深刻な脆弱性が発見される”
IoT OT Security News 