фото «Газинформсервиса»
Аналитики из западной компании Phylum, специализирующейся на кибербезопасности, опубликовали анализ, согласно которому вредоносное ПО было тщательно скрыто в редко используемой функции ‘end’ библиотеки jQuery. Эта функция вызывается внутренне более популярной функцией ‘fadeTo’, входящей в набор утилит для анимации.
С 26 мая по 23 июня 2024 года на регистр npm было загружено до 68 пакетов, имена которых варьировались от cdnjquery до sytlesheets. Также было установлено, что троянизированный файл jQuery размещен в репозитории GitHub под учетной записью «indexsc». В этом же репозитории находятся JavaScript-файлы, содержащие скрипт, указывающий на модифицированную версию библиотеки.
Особое внимание заслуживает метод внедрения вредоносного кода: изменения были внесены в функцию «end», что позволяет злоумышленнику перехватывать данные форм на веб-сайтах и отправлять их на удалённый сервер.
«Безопасность в разработке программного обеспечения является критически важным аспектом, особенно в контексте цепочки поставок. Атаки на них могут привести к серьезным последствиям, включая утечку данных, нарушение работы систем и, конечно, финансовые потери. В данном случае, обнаружение троянизированных версий в крупных репозиториях кода, в очередной раз подчеркивает важность контроля кода на всех этапах разработки. Необходимо проводить регулярные проверки кода, чтобы выявлять возможные уязвимости и угрозы безопасности. Кроме того, не лишним будет следить за тем, какие пакеты используются в проекте и откуда они берутся. Рекомендую разработчикам обращать внимание и на имена пакетов, так как в данном случае злоумышленники использовали различные названия для своих троянизированных версий jQuery», – говорит эксперт и менеджер по продукту SafeERP компании «Газинформсервис» Римма Кулешова.
Источник: www.it-world.ru
Похожие новости:
В суде США разваливается коллективный иск «разработчики против Microsoft, GitHub и OpenAI из-за работы GitHub Copilot»
Пакет Everything, охватывающий зависимостями все пакеты в репозитории NPM, случайно чуть не сломал NPM
В каких случаях флагманский смартфон HONOR окажется лучше, чем iPhone или Samsung
Состоялся релиз Expo SDK 50