URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 122027
[ Назад ]
Исходное сообщение
"В репозитории NPM выявлены четыре пакета, пересылающие данные о пользователе"
Отправлено opennews , 05-Окт-20 21:06 
В репозитории NPM выявлена вредоносная активность в четырёх пакетах, включающих preinstall-скрипт, который перед установкой пакета отправлял на GitHub комментарий с информацией об IP-адресе, местоположении, логине, модели CPU и домашнем каталоге пользователя. Вредоносный код был найден в пакетах electorn (255 загрузок), lodashs (78 загрузок), loadyaml (48 загрузок) и loadyml (37 загрузок)...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=53836

Содержание
Сообщения в этом обсуждении
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено дедушка старый , 05-Окт-20 21:06 
А я вам говорил!
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 06-Окт-20 08:12 
https://www.opennet.dev/openforum/vsluhforumID3/122007.html#118
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено A.Stahl , 05-Окт-20 21:10 
Четыре? Четыре штуки? Не четыре тысячи? Тю, всего-то. Я пользуюсь Андроид телефоном, запускаю виндовые бинарные блобы без всяких песочниц и мои данные светятся во всяких гос.службах от ЖЕКа до налоговой. Пфф, испугали тоже мне... Четыре пакета. Вы ещё скажите что в четырёх километрах от столицы обнаружили контейнер с четырьмя атомами радиоактивного вещества.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 05-Окт-20 23:09 
Интересно, как это ты запускаешь на Андроеде виндовые ехешники?
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено A.Stahl , 05-Окт-20 23:23 
Я не запускаю на Андроиде виндовые ехешники.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 06-Окт-20 21:36 
У него там "," он делает и это и то и возможно другие противозаконные действия.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено слива , 06-Окт-20 13:34 
Скоро в метро будешь оплачивать проход рожей.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Денис , 06-Окт-20 15:17 
В метро могут и паспорт попросить, а если нет, то IMEI от телефона (обожают менты проверять).
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 06-Окт-20 21:37 
Паспорт уже не интересен биометрия пошла в полный рост.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Дерьмократ , 07-Окт-20 16:21 
> В метро могут и паспорт попросить, а если нет, то IMEI от
> телефона (обожают менты проверять).

Проверка imei вообще законна?

"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 05-Окт-20 21:19 
Выявлены четыре позорных пакета, которые пересылают данные ТОЛЬКО О ПОЛЬЗОВАТЕЛЕ. Все остальыне пересылают всё, к чему имеют доступ!
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено gogo , 06-Окт-20 04:23 
Таки да. Главное, придумать мало-мальски правдоподобный повод. Типа "нам нужно знать разрешение экрана юзеров для какой-то там фичи"....
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Ананимус , 05-Окт-20 21:26 
Meh. По-моему, кроме того факапа с leftpad, никто так ни разу и не смог распросранить свой зловред через пакетные репозитории с какими-то действительно серьезными последствиями.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено имя_ , 05-Окт-20 21:48 
https://www.trendmicro.com/vinfo/nz/security/news/cybercrime... хотя бы
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Ананимус , 05-Окт-20 22:03 
Ну там с дюжину подобных историй есть. Импакт-то какой?
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено gogo , 06-Окт-20 04:25 
Ты настаиваешь, что не нужно креститься, если гром гремит не очень сильно?
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Ананимус , 07-Окт-20 17:13 
> Ты настаиваешь, что не нужно креститься, если гром гремит не очень сильно?

Я хочу сказать, что если security team успевает чинить подобные проблемы раньше, чем они нанесут какой-то существенный вред, значит модель в целом работает хорошо.

"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 06-Окт-20 08:14 
хреносимы с ногосракой тоже только две было, у тебя явно не было курса логики в БГУИР с летающими котлетами
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Ананимус , 07-Окт-20 17:29 
> хреносимы с ногосракой тоже только две было, у тебя явно не было
> курса логики в БГУИР с летающими котлетами

Не вижу аналогичных происшествий с npm. Все случившееся на уровне "баба срака сломала себе копчик в попытках вытереть жопу".

"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 05-Окт-20 21:35 
в лесу выявлены четыре дерева
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено онанимуз , 05-Окт-20 21:42 
this
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 05-Окт-20 23:10 
Это всё, что нужно знать об экосистеме JS.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено bergentroll , 06-Окт-20 05:44 
NPM как-то в корне отличается от PyPI, RubyGems, CPAN etc?
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 06-Окт-20 23:29 
контингентом
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено коржик , 07-Окт-20 07:36 
Nuget crates и все что с java связано так же внушают куда больше доверия
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено darkshvein , 05-Окт-20 22:41 
эм. всего четыре? четыри сотни или 4 тысячи?
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 05-Окт-20 23:01 
В стоге игл  нашли иголки.... следующая новость в толпе людей нашли человека а у человека нашли две руки две ноги
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Ordu , 05-Окт-20 23:15 
Забавно. Когда аноним опеннета не согласен с комментом, он отвечает на этот коммент и возникает тред. Когда аноним опеннета согласен с комментом, он создаёт новый тред, пытаясь развить тему. Странно, почему так?
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено bergentroll , 06-Окт-20 05:45 
В одном случае пытается закидать, во втором — раздуть.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено КО , 06-Окт-20 06:36 
Поэтому это называется комментарии, а не всякие тупые модные новые слова
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Денис , 06-Окт-20 07:53 
> Странно, почему так?

Все упражняетесь в психологии?

"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Ordu , 06-Окт-20 08:30 
>> Странно, почему так?
> Все упражняетесь в психологии?

Нет, просто наблюдаю.

"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 05-Окт-20 23:19 
Хруст решит эту проблему, усложненная реверсинженерия сделает невозможным для пользователя защитить себя.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 05-Окт-20 23:28 
Естествнно. А чего ещё ожидать от поделки придуманной неудачниками вендузятниками. Этож их вечная головная боль... ааааа библиотеку поставить, всё, караул, надо звать гуру и взывать к богам. Этож непосильная задача.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 05-Окт-20 23:27 
Кто бы сомневался.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено MintUser , 06-Окт-20 04:08 
Главное что выявили. Значит какой то контроль осуществляется. И в последующим будет усилен, предположительно.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 06-Окт-20 08:10 
Контроль на полном ручном управлении гнилью.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Денис , 06-Окт-20 04:40 
> домашнем каталоге пользователя

В смысле? Название каталога, список файлов или все содержимое? Еще одна причина ничего там не хранить, для этого есть отдельные разделы. Кто перешел с винды, у того так и есть. Разве что NTFS вместо ext4, но это поправимо.

"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Google , 06-Окт-20 04:53 
btc waller и $HOME/.ssh*
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Google , 06-Окт-20 04:54 
Чем тебе это поможет от запуска агента reverse NAT shell?
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Google , 06-Окт-20 04:52 
docker run yarn/npm
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 06-Окт-20 04:55 
https://github.com/evilsocket/opensnitch
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено zurapa , 06-Окт-20 07:22 
И вот опять...
Дуршлаг. Весь NPM можно переименовать в Дуршлаг.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 06-Окт-20 07:38 
Эта проблема касается любых пакетных менеджеров, которые могут выполнять скрипты. По идее их все нужно изолировать в песочнице
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 06-Окт-20 08:00 
https://deno.land/ ( https://github.com/denoland/deno )
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Lex , 06-Окт-20 08:13 
Просто надо «внезапно» внимательно смотреть, что на клавиатуре набираешь, когда речь о названиях модулей.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Онаним , 06-Окт-20 09:26 
О чём вы. Эти ребята действительно считают, что говнорепозитарии сами за них всё сделают. А уж про ревью зависимостей вообще речи нет. В итоге даже нормальные "честные" зависимости в этих говнорепах меняют API, и говнопроекты разлетаются в хлам.

Нормальные проекты синхронизируют определённые версии зависимостей и производят шаговое обновление с учётом изменений в таковых, гарантируя работоспособность результирующей системы. Кто из тянущих проект любит риск - обновляет их дальше и выступает в роли мейнтейнера bleeding edge кода уже сам. Кто не любит - сидит на стабильных версиях, которые дали мейнтейнеры проекта, и не дёргается.

"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 06-Окт-20 11:13 
Это же старый код! Это вчера он был отличным решением и бибикал, а сегодня он уже не тот! Бибикать надо по графику с сайта РЖД и на 2 тона ниже!
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Онаним , 06-Окт-20 09:28 
npm, cpan, composer-based и прочее, в целом. Все говнорепы зло, если у тебя серьёзный проект - ты берёшь определённые релизные версии прямо с авторских репозитариев, и дальше либо обновляешь с ревью самостоятельно, либо бэкпортишь какие-то фиксы, и т.д.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Онаним , 06-Окт-20 09:29 
Нет, допустим можно отдать конфиг композера вместе с проектом и пользоваться композером. Но в самом проекте должен идти код зависимостей, с которым проект однозначно работает.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Q2W , 06-Окт-20 09:49 
Мне вот интересно: для js же запилили суперкрутые песочницы в браузерах.
Потом взяли браузерную реализацию js и вынесли из браузера в nodejs.

Так песочницу чё с собой-то не взяли? Сейчас бы устанавливали себе эти модули где-то локально в песочнице каждой приложухи и всё. Безо всяких доступов куда не следует.

"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Lex , 06-Окт-20 13:51 
> Мне вот интересно: для js же запилили суперкрутые песочницы в браузерах.
> Потом взяли браузерную реализацию js и вынесли из браузера в nodejs.

Там не совсем браузерную реализацию перенесли.
Соль ноды в том, что она поддерживает в т.ч "нативные" модули, тогда как в случае с браузерами - только чистый JS и его подобия.

В данном случае даже не в ноде дело, а в менеджере пакетов.

Просто обычно ожидается, что разработчики хоть изредка, но будут смотреть на то, что пишут и их уровень знания ПК и проч ощутимо выше такового чем у какой-то бабки из деревни, которая только и умеет что новости в тырнете читать.

"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Онаним , 06-Окт-20 15:06 
Вот с "уровнями знания ПК", а если точнее - с умением администрировать системы, пакеты, модули - даже собственных разработок - там обычно полный швах.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Онаним , 06-Окт-20 15:07 
Даже придумали модель "каждый девелопер администратор" и "инфраструктура тоже код" - девляпс называется.
Но с учётом квалификации эта модель у них работает так, как и должна - через пень-колоду.
"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Lex , 08-Окт-20 15:22 
> Даже придумали модель "каждый девелопер администратор" и "инфраструктура тоже код" - девляпс
> называется.
> Но с учётом квалификации эта модель у них работает так, как и
> должна - через пень-колоду.

Работает она вполне нормально, если хотя бы через раз смотреть какой пакет устанавливается( т.е правильно ли набрано его название ).
И, в первую очередь, применять лишь хорошо известные и популярные модули с постоянным большим количеством скачиваний( т.е если скачиваний ок 20 / нед - это по-любому васяновский пакет с черти чем внутри ).. и, в цело, стремиться использовать пакетов столь мало, сколь это возможно.

А если не смотреть - так тут и достаточно и просто выхода в интернет с вводом адреса типа мой_любимый_банкК.ком и никакой ноды с энпиэмом не нужно )

"В репозитории NPM выявлены четыре пакета, пересылающие данны..."
Отправлено Аноним , 07-Окт-20 16:05 
Молодцы! Оперативно прореагировали. У многих, у тех у кого чёрная душа, пердаки полопались.

Крякер! Не лезь в Свободное программное обеспечение! Тысяча глаз вам наваляют!