The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"В репозитории NPM выявлены четыре пакета, пересылающие данные о пользователе"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"В репозитории NPM выявлены четыре пакета, пересылающие данные о пользователе"  +/
Сообщение от opennews (?), 05-Окт-20, 21:06 
В репозитории NPM выявлена вредоносная активность в четырёх пакетах, включающих preinstall-скрипт, который перед установкой пакета отправлял на GitHub комментарий с информацией об IP-адресе, местоположении, логине, модели CPU и домашнем каталоге пользователя. Вредоносный код был найден в пакетах electorn (255 загрузок), lodashs (78 загрузок), loadyaml (48 загрузок) и loadyml (37 загрузок)...

Подробнее: https://www.opennet.ru/opennews/art.shtml?num=53836

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по времени | RSS]


1. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +17 +/
Сообщение от дедушка старый (?), 05-Окт-20, 21:06 
А я вам говорил!
Ответить | Правка | Наверх | Cообщить модератору

38. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –1 +/
Сообщение от Аноним (38), 06-Окт-20, 08:12 
https://www.opennet.ru/openforum/vsluhforumID3/122007.html#118
Ответить | Правка | Наверх | Cообщить модератору

2. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +23 +/
Сообщение от A.Stahl (ok), 05-Окт-20, 21:10 
Четыре? Четыре штуки? Не четыре тысячи? Тю, всего-то. Я пользуюсь Андроид телефоном, запускаю виндовые бинарные блобы без всяких песочниц и мои данные светятся во всяких гос.службах от ЖЕКа до налоговой. Пфф, испугали тоже мне... Четыре пакета. Вы ещё скажите что в четырёх километрах от столицы обнаружили контейнер с четырьмя атомами радиоактивного вещества.
Ответить | Правка | Наверх | Cообщить модератору

15. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –4 +/
Сообщение от Аноним (15), 05-Окт-20, 23:09 
Интересно, как это ты запускаешь на Андроеде виндовые ехешники?
Ответить | Правка | Наверх | Cообщить модератору

19. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +3 +/
Сообщение от A.Stahl (ok), 05-Окт-20, 23:23 
Я не запускаю на Андроиде виндовые ехешники.
Ответить | Правка | Наверх | Cообщить модератору

52. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +2 +/
Сообщение от Аноним (52), 06-Окт-20, 21:36 
У него там "," он делает и это и то и возможно другие противозаконные действия.
Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

47. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от слива (?), 06-Окт-20, 13:34 
Скоро в метро будешь оплачивать проход рожей.
Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

51. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Денис (??), 06-Окт-20, 15:17 
В метро могут и паспорт попросить, а если нет, то IMEI от телефона (обожают менты проверять).
Ответить | Правка | Наверх | Cообщить модератору

53. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +1 +/
Сообщение от Аноним (52), 06-Окт-20, 21:37 
Паспорт уже не интересен биометрия пошла в полный рост.
Ответить | Правка | Наверх | Cообщить модератору

57. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Дерьмократ (?), 07-Окт-20, 16:21 
> В метро могут и паспорт попросить, а если нет, то IMEI от
> телефона (обожают менты проверять).

Проверка imei вообще законна?

Ответить | Правка | К родителю #51 | Наверх | Cообщить модератору

3. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +23 +/
Сообщение от Аноним (3), 05-Окт-20, 21:19 
Выявлены четыре позорных пакета, которые пересылают данные ТОЛЬКО О ПОЛЬЗОВАТЕЛЕ. Все остальыне пересылают всё, к чему имеют доступ!
Ответить | Правка | Наверх | Cообщить модератору

23. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +1 +/
Сообщение от gogo (?), 06-Окт-20, 04:23 
Таки да. Главное, придумать мало-мальски правдоподобный повод. Типа "нам нужно знать разрешение экрана юзеров для какой-то там фичи"....
Ответить | Правка | Наверх | Cообщить модератору

7. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –1 +/
Сообщение от Ананимус (?), 05-Окт-20, 21:26 
Meh. По-моему, кроме того факапа с leftpad, никто так ни разу и не смог распросранить свой зловред через пакетные репозитории с какими-то действительно серьезными последствиями.
Ответить | Правка | Наверх | Cообщить модератору

11. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +1 +/
Сообщение от имя_ (?), 05-Окт-20, 21:48 
https://www.trendmicro.com/vinfo/nz/security/news/cybercrime... хотя бы
Ответить | Правка | Наверх | Cообщить модератору

12. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –6 +/
Сообщение от Ананимус (?), 05-Окт-20, 22:03 
Ну там с дюжину подобных историй есть. Импакт-то какой?
Ответить | Правка | Наверх | Cообщить модератору

24. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +3 +/
Сообщение от gogo (?), 06-Окт-20, 04:25 
Ты настаиваешь, что не нужно креститься, если гром гремит не очень сильно?
Ответить | Правка | Наверх | Cообщить модератору

58. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –1 +/
Сообщение от Ананимус (?), 07-Окт-20, 17:13 
> Ты настаиваешь, что не нужно креститься, если гром гремит не очень сильно?

Я хочу сказать, что если security team успевает чинить подобные проблемы раньше, чем они нанесут какой-то существенный вред, значит модель в целом работает хорошо.

Ответить | Правка | Наверх | Cообщить модератору

40. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +2 +/
Сообщение от Аноним (38), 06-Окт-20, 08:14 
хреносимы с ногосракой тоже только две было, у тебя явно не было курса логики в БГУИР с летающими котлетами
Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

59. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Ананимус (?), 07-Окт-20, 17:29 
> хреносимы с ногосракой тоже только две было, у тебя явно не было
> курса логики в БГУИР с летающими котлетами

Не вижу аналогичных происшествий с npm. Все случившееся на уровне "баба срака сломала себе копчик в попытках вытереть жопу".

Ответить | Правка | Наверх | Cообщить модератору

9. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +24 +/
Сообщение от Аноним (9), 05-Окт-20, 21:35 
в лесу выявлены четыре дерева
Ответить | Правка | Наверх | Cообщить модератору

10. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +1 +/
Сообщение от онанимуз (?), 05-Окт-20, 21:42 
this
Ответить | Правка | Наверх | Cообщить модератору

16. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +1 +/
Сообщение от Аноним (15), 05-Окт-20, 23:10 
Это всё, что нужно знать об экосистеме JS.
Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

30. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +2 +/
Сообщение от bergentroll (ok), 06-Окт-20, 05:44 
NPM как-то в корне отличается от PyPI, RubyGems, CPAN etc?
Ответить | Правка | Наверх | Cообщить модератору

54. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –1 +/
Сообщение от Аноним (54), 06-Окт-20, 23:29 
контингентом
Ответить | Правка | Наверх | Cообщить модератору

55. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от коржик (?), 07-Окт-20, 07:36 
Nuget crates и все что с java связано так же внушают куда больше доверия
Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

13. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –3 +/
Сообщение от darkshvein (ok), 05-Окт-20, 22:41 
эм. всего четыре? четыри сотни или 4 тысячи?
Ответить | Правка | Наверх | Cообщить модератору

14. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Аноним (14), 05-Окт-20, 23:01 
В стоге игл  нашли иголки.... следующая новость в толпе людей нашли человека а у человека нашли две руки две ноги
Ответить | Правка | Наверх | Cообщить модератору

17. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +1 +/
Сообщение от Ordu (ok), 05-Окт-20, 23:15 
Забавно. Когда аноним опеннета не согласен с комментом, он отвечает на этот коммент и возникает тред. Когда аноним опеннета согласен с комментом, он создаёт новый тред, пытаясь развить тему. Странно, почему так?
Ответить | Правка | Наверх | Cообщить модератору

31. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –1 +/
Сообщение от bergentroll (ok), 06-Окт-20, 05:45 
В одном случае пытается закидать, во втором — раздуть.
Ответить | Правка | Наверх | Cообщить модератору

32. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –3 +/
Сообщение от КО (?), 06-Окт-20, 06:36 
Поэтому это называется комментарии, а не всякие тупые модные новые слова
Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

35. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –1 +/
Сообщение от Денис (??), 06-Окт-20, 07:53 
> Странно, почему так?

Все упражняетесь в психологии?

Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

41. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Ordu (ok), 06-Окт-20, 08:30 
>> Странно, почему так?
> Все упражняетесь в психологии?

Нет, просто наблюдаю.

Ответить | Правка | Наверх | Cообщить модератору

18. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –1 +/
Сообщение от Аноним (-), 05-Окт-20, 23:19 
Хруст решит эту проблему, усложненная реверсинженерия сделает невозможным для пользователя защитить себя.
Ответить | Правка | Наверх | Cообщить модератору

21. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +1 +/
Сообщение от Аноним (21), 05-Окт-20, 23:28 
Естествнно. А чего ещё ожидать от поделки придуманной неудачниками вендузятниками. Этож их вечная головная боль... ааааа библиотеку поставить, всё, караул, надо звать гуру и взывать к богам. Этож непосильная задача.
Ответить | Правка | Наверх | Cообщить модератору

20. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +2 +/
Сообщение от Аноним (21), 05-Окт-20, 23:27 
Кто бы сомневался.
Ответить | Правка | Наверх | Cообщить модератору

22. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –1 +/
Сообщение от MintUser (?), 06-Окт-20, 04:08 
Главное что выявили. Значит какой то контроль осуществляется. И в последующим будет усилен, предположительно.
Ответить | Правка | Наверх | Cообщить модератору

37. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +1 +/
Сообщение от Аноним (37), 06-Окт-20, 08:10 
Контроль на полном ручном управлении гнилью.
Ответить | Правка | Наверх | Cообщить модератору

25. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –4 +/
Сообщение от Денис (??), 06-Окт-20, 04:40 
> домашнем каталоге пользователя

В смысле? Название каталога, список файлов или все содержимое? Еще одна причина ничего там не хранить, для этого есть отдельные разделы. Кто перешел с винды, у того так и есть. Разве что NTFS вместо ext4, но это поправимо.

Ответить | Правка | Наверх | Cообщить модератору

27. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Google (?), 06-Окт-20, 04:53 
btc waller и $HOME/.ssh*
Ответить | Правка | Наверх | Cообщить модератору

28. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Google (?), 06-Окт-20, 04:54 
Чем тебе это поможет от запуска агента reverse NAT shell?
Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

26. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Google (?), 06-Окт-20, 04:52 
docker run yarn/npm
Ответить | Правка | Наверх | Cообщить модератору

29. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Аноним (37), 06-Окт-20, 04:55 
https://github.com/evilsocket/opensnitch
Ответить | Правка | Наверх | Cообщить модератору

33. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –2 +/
Сообщение от zurapa (ok), 06-Окт-20, 07:22 
И вот опять...
Дуршлаг. Весь NPM можно переименовать в Дуршлаг.
Ответить | Правка | Наверх | Cообщить модератору

34. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +1 +/
Сообщение от Аноним (34), 06-Окт-20, 07:38 
Эта проблема касается любых пакетных менеджеров, которые могут выполнять скрипты. По идее их все нужно изолировать в песочнице
Ответить | Правка | Наверх | Cообщить модератору

36. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –1 +/
Сообщение от Аноним (37), 06-Окт-20, 08:00 
https://deno.land/ ( https://github.com/denoland/deno )
Ответить | Правка | Наверх | Cообщить модератору

39. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  –1 +/
Сообщение от Lex (??), 06-Окт-20, 08:13 
Просто надо «внезапно» внимательно смотреть, что на клавиатуре набираешь, когда речь о названиях модулей.
Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

42. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +2 +/
Сообщение от Онаним (?), 06-Окт-20, 09:26 
О чём вы. Эти ребята действительно считают, что говнорепозитарии сами за них всё сделают. А уж про ревью зависимостей вообще речи нет. В итоге даже нормальные "честные" зависимости в этих говнорепах меняют API, и говнопроекты разлетаются в хлам.

Нормальные проекты синхронизируют определённые версии зависимостей и производят шаговое обновление с учётом изменений в таковых, гарантируя работоспособность результирующей системы. Кто из тянущих проект любит риск - обновляет их дальше и выступает в роли мейнтейнера bleeding edge кода уже сам. Кто не любит - сидит на стабильных версиях, которые дали мейнтейнеры проекта, и не дёргается.

Ответить | Правка | Наверх | Cообщить модератору

46. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +1 +/
Сообщение от Аноним (46), 06-Окт-20, 11:13 
Это же старый код! Это вчера он был отличным решением и бибикал, а сегодня он уже не тот! Бибикать надо по графику с сайта РЖД и на 2 тона ниже!
Ответить | Правка | Наверх | Cообщить модератору

43. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Онаним (?), 06-Окт-20, 09:28 
npm, cpan, composer-based и прочее, в целом. Все говнорепы зло, если у тебя серьёзный проект - ты берёшь определённые релизные версии прямо с авторских репозитариев, и дальше либо обновляешь с ревью самостоятельно, либо бэкпортишь какие-то фиксы, и т.д.
Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

44. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Онаним (?), 06-Окт-20, 09:29 
Нет, допустим можно отдать конфиг композера вместе с проектом и пользоваться композером. Но в самом проекте должен идти код зависимостей, с которым проект однозначно работает.
Ответить | Правка | Наверх | Cообщить модератору

45. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Q2W (?), 06-Окт-20, 09:49 
Мне вот интересно: для js же запилили суперкрутые песочницы в браузерах.
Потом взяли браузерную реализацию js и вынесли из браузера в nodejs.

Так песочницу чё с собой-то не взяли? Сейчас бы устанавливали себе эти модули где-то локально в песочнице каждой приложухи и всё. Безо всяких доступов куда не следует.

Ответить | Правка | Наверх | Cообщить модератору

48. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +1 +/
Сообщение от Lex (??), 06-Окт-20, 13:51 
> Мне вот интересно: для js же запилили суперкрутые песочницы в браузерах.
> Потом взяли браузерную реализацию js и вынесли из браузера в nodejs.

Там не совсем браузерную реализацию перенесли.
Соль ноды в том, что она поддерживает в т.ч "нативные" модули, тогда как в случае с браузерами - только чистый JS и его подобия.

В данном случае даже не в ноде дело, а в менеджере пакетов.

Просто обычно ожидается, что разработчики хоть изредка, но будут смотреть на то, что пишут и их уровень знания ПК и проч ощутимо выше такового чем у какой-то бабки из деревни, которая только и умеет что новости в тырнете читать.

Ответить | Правка | Наверх | Cообщить модератору

49. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Онаним (?), 06-Окт-20, 15:06 
Вот с "уровнями знания ПК", а если точнее - с умением администрировать системы, пакеты, модули - даже собственных разработок - там обычно полный швах.
Ответить | Правка | Наверх | Cообщить модератору

50. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +1 +/
Сообщение от Онаним (?), 06-Окт-20, 15:07 
Даже придумали модель "каждый девелопер администратор" и "инфраструктура тоже код" - девляпс называется.
Но с учётом квалификации эта модель у них работает так, как и должна - через пень-колоду.
Ответить | Правка | Наверх | Cообщить модератору

60. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."  +/
Сообщение от Lex (??), 08-Окт-20, 15:22 
> Даже придумали модель "каждый девелопер администратор" и "инфраструктура тоже код" - девляпс
> называется.
> Но с учётом квалификации эта модель у них работает так, как и
> должна - через пень-колоду.

Работает она вполне нормально, если хотя бы через раз смотреть какой пакет устанавливается( т.е правильно ли набрано его название ).
И, в первую очередь, применять лишь хорошо известные и популярные модули с постоянным большим количеством скачиваний( т.е если скачиваний ок 20 / нед - это по-любому васяновский пакет с черти чем внутри ).. и, в цело, стремиться использовать пакетов столь мало, сколь это возможно.

А если не смотреть - так тут и достаточно и просто выхода в интернет с вводом адреса типа мой_любимый_банкК.ком и никакой ноды с энпиэмом не нужно )

Ответить | Правка | Наверх | Cообщить модератору

56. Скрыто модератором  +/
Сообщение от Аноним (-), 07-Окт-20, 16:05 
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру