Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Атакующие получили контроль над NPM-пакетами проекта DuckDB и опубликовали вредоносные выпуски"	+/–
Сообщение от opennews (ok), 10-Сен-25, 08:44
История с компрометацией 18 NPM-пакетов, в сумме насчитывающих более 2 миллиардов загрузок в неделю, получила продолжение. Выявлен аналогичный захват через фишинг   учётных данных  сопровождающего NPM-пакеты  проекта DuckDB. Для пакетов DuckDB также были сформированы версии с вредоносным кодом, осуществляющим подстановку реквизитов при проведении платежей через криптовалюты, но атака была сразу выявлена и зафиксированы лишь единичные загрузки вредоносных пакетов. При этом по предварительным данным пакеты с вредоносной вставкой, опубликованные в ходе вчера анонсированной атаки на 18 NPM-пакетов, успели загрузить более 2.5 миллионов раз... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=63854
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "Атакующие получили контроль над NPM-пакетами проекта DuckDB ..."	+3 +/–
Сообщение от Жироватт (ok), 10-Сен-25, 08:44
Шо, опять? Никогда ж такого не было - и вот опять. А, между прочим, карго так активно еще не ломали...видимо Неуловимый Джо неуловим
Ответить | Правка | Наверх | Cообщить модератору

	7. "Атакующие получили контроль над NPM-пакетами проекта DuckDB ..."	+/–
	Сообщение от localhostadmin (ok), 10-Сен-25, 09:51
	Потому что раст никому не нужен. Пользовались бы им столько же, сколько и нодой. Тогда и взламывали его примерно с такой же частотой
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Атакующие получили контроль над NPM-пакетами проекта DuckDB ..."	+/–
	Сообщение от пох. (?), 10-Сен-25, 10:06
	да может и нужен и поломали - но код-то прочитать никто кроме ЫЫ не может. Это тебе не нескучный js.
	Ответить | Правка | Наверх | Cообщить модератору

	9. "Атакующие получили контроль над NPM-пакетами проекта DuckDB ..."	+/–
	Сообщение от Аноним (9), 10-Сен-25, 10:14
	Юные хакеры просто не смогли написать код, на который боров не жалуется.
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

2. "Атакующие получили контроль над NPM-пакетами проекта DuckDB ..."	+/–
Сообщение от Аноним (2), 10-Сен-25, 08:56
А зачем было ломать, утка сама собрана из зависимостей более чем полностью. И какое еще проведение платежей через криптовалюту, автор сам понял что написал? Это же СУБД.
Ответить | Правка | Наверх | Cообщить модератору

	4. "Атакующие получили контроль над NPM-пакетами проекта DuckDB ..."	+3 +/–
	Сообщение от Diozan (ok), 10-Сен-25, 09:28
	Взломанная СУБД - это уже не просто СУБД и не только СУБД....
	Ответить | Правка | Наверх | Cообщить модератору

	5. "Атакующие получили контроль над NPM-пакетами проекта DuckDB ..."	+/–
	Сообщение от 1 (??), 10-Сен-25, 09:29
	Т.е. в зависимостях кода СУБД Не может быть вредоносных пакетов действующих во всем приложении ? Это же нода, - в названии S, это Security.
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

	6. "Атакующие получили контроль над NPM-пакетами проекта DuckDB ..."	+/–
	Сообщение от Аноним (6), 10-Сен-25, 09:44
	Там для браузеров пакеты есть "DuckDB-Wasm is an in-process analytical SQL database for the browser".
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

3. Скрыто модератором	+1 +/–
Сообщение от 63506 (?), 10-Сен-25, 09:26
Да-уж, неделька ужасов для хипстеров идет. Ждем продолжения банкета на соседних зумерских площадках.
Ответить | Правка | Наверх | Cообщить модератору

10. "Атакующие получили контроль над NPM-пакетами проекта DuckDB ..."	+/–
Сообщение от Аноним (10), 10-Сен-25, 10:31
Это может быть не фишинговая атака, а цепная реакция, вызванная ИИ-червём. После захвата контроля над растопакетами её будет уже не остановить: растопакеты без карго-дерьма просто не соберутся. На вашем бы месте побыл бы две недельки без обновлений, пока пыль не уляжется.
Ответить | Правка | Наверх | Cообщить модератору

11. "Атакующие получили контроль над NPM-пакетами проекта DuckDB ..."	+/–
Сообщение от Аноним (11), 10-Сен-25, 11:29
А мне всегда интересно. Там ведь во вставке был фактически IP атакующего. Почему его так сложно вычислить по IP?
Ответить | Правка | Наверх | Cообщить модератору

	12. "Атакующие получили контроль над NPM-пакетами проекта DuckDB ..."	+/–
	Сообщение от Аноним (12), 10-Сен-25, 11:52
	Ну айпишник очередной ВЧ и что дальше?
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема