The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Раскрыты подробности захвата учётных данных сопровождающего NPM-пакет axios

03.04.2026 08:48 (MSK)

Сопровождающий NPM-пакет axios, для которого на днях были выпущены вредоносные обновления, раскрыл подробности атаки, в результате которой атакующим удалось получить доступ к его компьютеру и всем учётных данным. Атака была проведена с использованием типового метода социального инжиниринга, который ранее уже использовался для компрометации разработчиков криптокошельков и AI-платформ.

Атакующий выдал себя за основателя известной компании и предложил организовать совместный проект. Вначале сопровождающего пригласили в рабочее пространство Slack, которое выглядело реалистично, содержало каналы с сообщениями из LinkedIn, имело фейковые профили работников компании и представителей других открытых проектов.

Через какое-то время было назначено групповое обсуждение, организованное на базе платформы MS Teams. В ходе встречи возникли технические трудности, причиной которых назвали отсутствие необходимого дополнения на стороне сопровождающего. Сопровождающий установил недостающий компонент, который на деле оказался трояном, предоставившим атакующим удалённый доступ к системе. Отмечается, что всё было профессионально срежиссировано и выглядело правдоподобно.

  1. Главная ссылка к новости (https://github.com/axios/axios...)
  2. OpenNews: Скомпрометирован NPM-пакет axios, имеющий 100 млн загрузок в неделю
  3. OpenNews: Утечка пользовательской базы списка рассылки автора сервиса HaveIBeenPwned
  4. OpenNews: При помощи червя Shai-Hulud скомпрометировано 600 NPM-пакетов
  5. OpenNews: Атакующие получили контроль над NPM-пакетами проекта DuckDB и опубликовали вредоносные выпуски
  6. OpenNews: Скомпрометированы 18 NPM-пакетов, насчитывающих более 2 миллиардов загрузок в неделю
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/65134-npm
Ключевые слова: npm, hack
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (60) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, 27778 (?), 09:13, 03/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +13 +/
    Что сказать? Чел хотел "срубить" бабосиков (оказывается разрабы тоже кушать хотят, кто-бы мог подумать), потерял бдительность, ну и ему "прилетело".
    Суть сей басни такова, что разрабам нужно платить, чтобы у них не возникало потребности смотреть по сторонам, где-б капусту нашинковать.
     
     
  • 2.2, Аноним (2), 09:19, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Сколько свинью не корми… Другой бы остановился подумать, что за мусор ему предлагают скачать, но, видимо, не привыкать к рандомным блобам.
     
     
  • 3.3, 27778 (?), 09:20, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Свинья, не свинья, а чела 100 млн загрузок в неделю. А у тебя? Можешь не отвечать, вопрос риторический.
     
     
  • 4.30, Аноним (30), 13:04, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    100 млн лефтпадов, еще 200 на подходе; объясните кто нибудь этому про бесконечные установки пакетов в пайплайнах от тех, кто не умеет в кэши и пр.

    большое количество никогда не означало хорошее качество

     
  • 4.31, penetrator (?), 13:04, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    миллионы мух не могут ошибаться, это понятно мне, да
     
     
  • 5.64, Аноним (64), 18:02, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    И это основная причина, почему язык C до сих пор популярен.
     
     
  • 6.67, Аноним (67), 18:47, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    А по моему двинутых фанатиков кое чего другого намного больше.
    Но кто ж тебя убедит, мда?
     
  • 3.5, 12yoexpert (ok), 09:34, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +5 +/
    всё же нужно делать скидку на то, что он пишет на жс, то есть мог в принципе ничего не знать о существовании троянов, вирусов и прочих таких технических диковинок

    ну и что ты хочешь от человека, который без задней мысли запускает у себя проприетарный софт вроде слака или наколеночных поделок майкрософт

     
     
  • 4.10, Витюшка (?), 10:33, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/
    "Запускает у себя pip install"...или cargo install, или go install или...список можно продолжать.

    Где в этот момент выполняются скрипты из пакета...ой...так это же так делают 99.9999% разработчиков.

    А ему просто не повезло.

     
     
  • 5.37, Аноним (37), 13:56, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Остальные игроки выжили в русскую рулетку, а ему "просто не повезло". Ну пойдем дальше играть, мы то самые везучие.
     
  • 4.13, Джон Титор (ok), 10:46, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Может проблема в том что работодатели несколько обнаглели и фактически каждый пытается что-то поставить на ваш ПК для отслеживания чем вы там занимаетесь или ещё чего? Даже в больших компаниях, в офисе, говоришь менеджеру что на софт ругается антивирус, а он что-то выдаст вроде это софт от заказчика, он сказал поставить, это ошибка антивируса - поставь в исключение, оно мешает работать. А потом слышим в новостях как одну или другую компанию взломали. А если на удалёнке, так после каждого нужно переустанавливать ОС потому что тот что-то ставил и потенциально это может быть вредоносным. А ещё желательно работать в изолированной сети. Я помню как-то работал над финтех проектом и мне такой Payoneer стучит и говорит что для прохождения тестового задания нужен ssh, подключение к удалённому ПК. Я говорю дайте настройки, а они - ты поставь наше программное обеспечение и админы все настроят. Я говорю что не могу так. Они расстроились. Так мы и не договорились. Потом я узнал что они где-то известные, а у меня на ПК тоже было ПО не меньше известное, правда я им не сказал причину отказа. Так может проблема в том что работодатели подобнаглели? И если не установишь что они просят - будешь без работы, значит без денег.
     
     
  • 5.24, Артемон (?), 12:12, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Во, во я для таких пайониров с некоторых пор сам сделал программулинку и отсылаю ее алаверды чтобы они ее установили, а я сам к ним подключился. И они сразу сливаются.
     
     
  • 6.25, Джон Титор (ok), 12:25, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Во, во я для таких пайониров с некоторых пор сам сделал программулинку
    > и отсылаю ее алаверды чтобы они ее установили, а я сам
    > к ним подключился. И они сразу сливаются.

    Дело не в портфолио. Сейчас социальная инженерия может работать и не так. Вот вам могут сказать о том что им нужно проверить подключение в вашей стране и качество подключения, т.к. у них есть требования к качеству подключения и вообще им бы хотелось понять, можно ли с вашей страны подключится к их серверам. Наивные люди могут в это поверить. Согласитесь - звучит правдоподобно. А если вы знаете что через месяц заканчивается проект, вы будете без работы и видите в соцсети поиска работы что с работой сейчас сложно - на вас это ещё и давит. Вот я задавался вопросом - правильно ли я тогда поступил? Потому что обстоятельства ещё могут давить.

     
     
  • 7.50, пох. (?), 15:11, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > в вашей стране и качество подключения, т.к. у них есть требования
    > к качеству подключения и вообще им бы хотелось понять, можно ли
    > с вашей страны подключится к их серверам. Наивные люди могут в

    это какой-то очень сложный ход. Вероятнее всего даже самый глупый node js автор не поверит в эту разводку.
    Тем более на ранних этапах собеседования.

     
  • 7.66, Аноним (66), 18:35, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    "у меня архив почему то не открывается, может ты попробуешь на своём".
     
  • 5.26, 12yoexpert (ok), 12:49, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > фактически каждый пытается что-то поставить на ваш ПК для отслеживания чем вы там занимаетесь или ещё чего?

    просто не работай на галерах и всё

    хороших компаний навалом, если ты всё ещё работаешь на дядю за 0.1 рейта

     
     
  • 6.73, Рмщъ (?), 20:26, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    В этих компаниях, которых навалом, есть вакансии для vue-фронтендера с не самыми обширными знаниями в своём стеке, но более, чем с пятью годами опыта фронтенд-галер и ещё немного фулстечных лет времён jQuery?
     
     
  • 7.74, 12yoexpert (ok), 22:31, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    открой linkedin и посмотри, в чём проблема?
     
  • 5.33, Аноним (30), 13:06, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Лол,
    а неча из себя цел(ованную девуш)ку строить с "я работаю только на своем маке", берешь технику от работодателя и ишачишь, пусть ставит что хочет
     
     
  • 6.41, пох. (?), 14:21, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Лол,
    > а неча из себя цел(ованную девуш)ку строить с "я работаю только на
    > своем маке", берешь технику от работодателя и ишачишь, пусть ставит что
    > хочет

    чтобы взять технику от работодателя - надо для начала пройти интервью... да можешь рот не бежать полоскать, это другое.

    Я пока еще не видел настолько больных на голову работодателей, чтоб общаться с тобой шв260дкиными технологиями.

     
     
  • 7.63, Жироватт (ok), 17:50, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Не знаю, не знаю, во всех российских компаниях, в которых довелось работать, которые чуть выше уровня "ИП Смирнов" или "ООО Отмывайка" всегда есть возможность взять технику работодателя.
     
     
  • 8.65, пох. (?), 18:07, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    чувак проходил _собеседование_ Чтоб в ту компанию, нероссийскую - вообще взяли ... текст свёрнут, показать
     
     
  • 9.72, Dzen Python (ok), 20:17, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Как будто у продвинутых айтешников нету связки из домашнего ПК со всей перифер... текст свёрнут, показать
     
  • 3.35, Аноним (35), 13:53, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Другой бы остановился подумать, что за мусор ему предлагают скачать

    "Сопровождающий NPM-пакета" это здесь ключевое.

     
  • 2.21, Андрей (??), 11:47, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Машина для разработки и машина для сёрфинга должны быть разными "машинами".
     
     
  • 3.36, Аноним (35), 13:55, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А машина для установки непойми чего, непойми откуда должна быть третьей.
     
     
  • 4.44, пох. (?), 14:26, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > А машина для установки непойми чего, непойми откуда должна быть третьей.

    и так на каждое собеседование по одной. Причем когда-нибудь тебя попросят продемонстрировать свои поделки в процессе - а ты такой ой, а у меня оно вот. Могу камерой подснять экранчик.

     
  • 2.70, Аноним (70), 19:59, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Мозг обычно отключается не от голода, а от предвкушения.
     

  • 1.6, Bob (??), 09:41, 03/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    >MS Teams. В ходе встречи возникли технические трудности, причиной которых назвали отсутствие необходимого дополнения на стороне сопровождающего

    А всю сию деятельность нельзя не с рабочей тачки проворачивать?

     
     
  • 2.7, 12yoexpert (ok), 09:46, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    это у тебя на заводе есть рабочая тачка, уважающие себя люди работают со своего железа
     
     
  • 3.9, Джон Титор (ok), 10:31, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Я работаю на удалёнке последние годы и для этого взял отдельный рабочий ноутбук. Какие проблемы его взять? Тем более что у человека весьма много загрузок пакета в день.
     
     
  • 4.12, Витюшка (?), 10:34, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Можно. А зачем?
     
     
  • 5.14, Джон Титор (ok), 10:49, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Это для тех кто работает удаленно. Затем чтобы все ваши конфиденциальные данные оставались на домашних ПК.
     
  • 4.19, 12yoexpert (ok), 11:33, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    если ты этот комп контролируешь - то никаких проблем

    а вот если тебе на работе выдали тормозной ноутбук (а они все тормозные) на ОС, которую ты не хочешь, и с софтом, который тебе не нужен или вредит, вот это проблема

     
     
  • 5.22, Джон Титор (ok), 11:52, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Множество компаний проходят сертификацию ISO по контролю качества менеджмента и именно из-за регуляторных технологий и требований в разных стран или конечного пользователя они так и поступают. Ну по крайней мере некоторые так оправдываются. И тут не дело в том как вы пишете чуть выше что они вас уважают или нет. У них самих контракты такие что обязывают обеспечивать "качество" менеджмента. Качество в кавычках, т.к. я сам не в восторге когда так поступают. Но вот скажем же честно - у нас как у разработчиков есть только вариант отказаться с ними работать. Ведь если вы не согласны, с вами контракт разрывают. Или вы знаете лучше варианты как от этого отказаться?
     
     
  • 6.27, 12yoexpert (ok), 12:52, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    ISO это бессмысленная бюрократическая шиза

    в нормальных компаниях это понимают, проходят её для галочки (банально от некоторых заказчиков требуют её требовать) и продолжают работать адекватно и продуктивно

    и да: если ты не видел таких компаний, значит, где-то в этой жизни ты повернул не туда и гребёшь, небось, в каком-нибудь сбербанке

     
     
  • 7.29, Джон Титор (ok), 13:02, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, это не для галочки. На западе реально аудит и там реально носятся с этой сертификацией как угорелые, т.к. это весьма дорогое удовольствие для них.
     
     
  • 8.32, 12yoexpert (ok), 13:05, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • –3 +/
    я как раз и пишу из того места, которое твой телевизор называет Западом , и рас... текст свёрнут, показать
     
     
  • 9.53, Tron is Whistling (?), 15:15, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Реально аудит и реально носятся Это трындец Причём не редки случаи, в которых ... текст свёрнут, показать
     
  • 4.54, Tron is Whistling (?), 15:17, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ну мне вот удобнее работать с 16-ядрёного десктопа с тремя мониторами и 128 гигами рамы, чем с унылого ябблоштото.
     
     
  • 5.60, пох. (?), 16:10, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Ну мне вот удобнее работать с 16-ядрёного десктопа с тремя мониторами и
    > 128 гигами рамы, чем с унылого ябблоштото.

    ну так пусть работодатель оплатит неунылое яблоштота - mac pro умеет вроде до 128G - правда придется обойтись всего 18 ядрами (для m5 max) - но есть еще 40 внутри видеокарты.

    Третий монитор придется конечно через лайтнинг подключать, уныло, но что поделать.

    Не знаю только, тележку для перевозки всего этого можно приобрести прям в эплосторе или надо у китайца заказывать. Вместе с носильщиками.

     
  • 2.11, Аноним (-), 10:34, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    С виртуалки...

    Особенно если QubesOS.

     
  • 2.46, Diozan (ok), 14:35, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >>MS Teams. В ходе встречи возникли технические трудности, причиной которых назвали отсутствие необходимого дополнения на стороне сопровождающего
    > А всю сию деятельность нельзя не с рабочей тачки проворачивать?

    Меня тоже удивило. Я не профессиональный разработчик, но разработка на одном компе, а всякие шуры-муры, сисечки-писечки - строго на другом.

     

  • 1.8, Аноним (8), 09:52, 03/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Выдал себя за основателя какой известной компании? Прямо можно написать название компании? Там листинг огромный читать не хочу.
     
  • 1.15, Аноним (15), 11:14, 03/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Смотрел на ютубе (разблокированного с помощью бесплатного openwrt и zapret) ролик про то как несколько раз звиздец подкрадывался к интернету. Вобщем один парнишка сопровождал опенсорс проект, который брали все и микро-софт и морда-книга. Ну вобщем случилась беда - у парня сгорел дом, сгорел дотла. Ну от к корпоратам, типа помогите че нить с жильем решить. Они в ответ улыбку чеширского кота. Ну парень на нервах похреначил часть своей работы на гитхабе. И о чудо - микромягкие откатили ветку назад, а парня заблочили. Так что есть хотят все, но некоторые хотят очень много есть, чтоб другим не осталось.
     
     
  • 2.17, Аноним (8), 11:25, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    У тебя установлен adblock и ютуб ты смотришь без рекламы. А авторы тоже кушать хотят. Так что и мы такие же, как корпорасты. Они не хотят тратить деньги, а мы время(ничего другого у нас нет).
     
     
  • 3.71, Аноним (70), 20:14, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Даже если у него не установлен adblock, ютуб он все равно смотрит без рекламы - для пользователей из России реклама отключена уже несколько лет как.
     
  • 2.23, Джон Титор (ok), 11:57, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Вобщем один парнишка сопровождал опенсорс проект, который брали все и микро-софт и морда-книга.

    И заметим что они его не захотели нанять и не захотели его проект купить, не захотели купить его как НКО. Просто напомню что открытые проекты также являются программным продуктом который можно купить. Да и некоммерческие организации нынче тоже могут купить весьма богатые люди.

     
  • 2.57, Витюшка (?), 15:48, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ну...догадываюсь что весь свой код от тупо "сдал". Наслушавшись экспертов с opennet об IT-коммунизме.

    Да, мир работает немного не так как думают соевые IT-коммунисты. Откатили они свободный открытый код на открытый (но на несколько коммитов раньше).

    И ему не заплатили и не платят не только "проклятые капиталисты", но и "упоротые IT-коммунисты". Да и обычный программист когда за свой любимый vim или что там донатил?

     

  • 1.16, Аноним (16), 11:17, 03/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Все централизованные репы типа npm, pypl, crates.io, pkg.go.dev нужно монетизировать, а деньги направлять на модерацию пакетов. Иначе мы все погибнем.
     
     
  • 2.38, Аноним (38), 14:06, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Надеюсь что погибнем, и всё для этого сделаю. Первое что станет с монетизированным шлаком - появится немонетизированная ему альтернатива.
     

  • 1.40, Tron is Whistling (?), 14:19, 03/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Бггг, неплохая психологическая атака на типовую ЦА ноды.
     
     
  • 2.45, пох. (?), 14:29, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Бггг, неплохая психологическая атака на типовую ЦА ноды.

    хм, как будто ты собеседование не в том же зуме проходил?
    И скажи еще спасибо что не "хрень-телемост".

     
     
  • 3.47, Аноним (35), 14:53, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Лучше его проходить в оффлайне.
     
     
  • 4.48, пох. (?), 15:07, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ну могут отпи3дить же! (и пароли отобрать)

    А если серьезно - это реально п-ц задалбывает. Даже если ты ищешь работу сидя на вэфлвере, а не стесняешься пока огорчить своего начальника близким расставанием.
    Я наверное не смогу уже метаться даже в пределах города по очередным подвалам в каждом из которых ты проводишь по три часа в лучшем случае, и еще и не один раз если они в тебе хоть как заинтересовались - последний раз я это делал лет 15 назад и это был реально п-ц какой-то, на работе так не устаешь. Спасибо ковиду что больше так уже наверное нигде не работают.

    А теперь прикинь, бывают люди достаточно полезные окружающим чтобы позволить себе работать не в соседней даже деревушке. Им ради каждого собеседования прыгать в рыбный обоз, закидывать туда котомку с ноутбуком и пару месяцев ехать в соседний райцентр?!

     
  • 3.51, Tron is Whistling (?), 15:11, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Лол, скажу :)
     
     
  • 4.56, пох. (?), 15:43, 03/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Лол, скажу :)

    У меня половина совещаний в нем (когда надо общаться с недопущенными к внутренним коммуникациям контрагентами). Впрочем, нет худа без добра - оказалось в его видеопоток отлично вставляется запрещенное запрещено. Но... придется завести хрень-id.

     

  • 1.52, Аноним (52), 15:14, 03/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    хорошая ковер история, достаточно было ему перевести в биткоинах н-ную сумму.
     
  • 1.61, Аноним (61), 16:28, 03/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Они и сами не знали что подсунули, так как сам пользовались.
     
  • 1.68, Аноним (68), 19:40, 03/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > Сопровождающий установил недостающий компонент

    Охотно верим! Нет.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2026 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру