科技媒體 bleepingcomputer 昨日（6 月 1 日）發(fā)布博文，報(bào)道稱 Red Hat 名下 `@redhat-cloud-services` 命名空間超過(guò) 30 個(gè) npm 包遭供應(yīng)鏈攻擊，遭到攻擊者投放 Shai-Hulud 新變種“Miasma”。

國(guó)家網(wǎng)絡(luò)安全通報(bào)中心今日發(fā)布預(yù)警，稱監(jiān)測(cè)發(fā)現(xiàn)，全球主流 JavaScript 軟件包管理平臺(tái) npm 遭“沙蟲(chóng)”（Shai-Hulud）供應(yīng)鏈投毒攻擊。攻擊者攻陷了 npm 官方維護(hù)者賬戶，并在短時(shí)間內(nèi)批量投放大量惡意軟件包，涉及 300 余個(gè)獨(dú)立程序包的 600 余個(gè)惡意版本，影響多個(gè)熱門(mén)開(kāi)源項(xiàng)目。

科技媒體 NeoWin 昨日（5 月 15 日）發(fā)布博文，報(bào)道稱 npm 熱門(mén)包 node-ipc 遭遇新的供應(yīng)鏈攻擊，多個(gè)新發(fā)布版本被植入信息竊取惡意代碼。

網(wǎng)絡(luò)安全機(jī)構(gòu) Socket 發(fā)現(xiàn)，攻擊者利用 GitHub Actions 漏洞，向 @tanstack / react-router 等 84 個(gè) NPM 包植入惡意代碼，可竊取 AWS / GCP 密鑰、GitHub 令牌等敏感信息。受影響包周下載量超 1200 萬(wàn)次，波及 @mistralai、@uipath 等多個(gè)企業(yè)級(jí)工具包。#網(wǎng)絡(luò)安全##供應(yīng)鏈攻擊#

安全機(jī)構(gòu)發(fā)現(xiàn) Axios 兩個(gè) npm 版本被黑客劫持維護(hù)者賬號(hào)后惡意發(fā)布。攻擊者通過(guò)注入虛假依賴包，在安裝時(shí)自動(dòng)執(zhí)行腳本，連接遠(yuǎn)程服務(wù)器下載木馬，并在 macOS、Windows、Linux 系統(tǒng)上偽裝運(yùn)行。完成后會(huì)自我清理，極難察覺(jué)。#開(kāi)源安全# #供應(yīng)鏈攻擊#

亞馬遜披露了開(kāi)源注冊(cè)表歷史上規(guī)模最大的包泛濫事件之一，攻擊者通過(guò) npm 注入超 15 萬(wàn)個(gè)惡意包以挖取 TEA 代幣。這些惡意包包含自我復(fù)制代碼，自動(dòng)生成新包，利用開(kāi)源生態(tài)牟利。亞馬遜正與 OpenSSF 合作應(yīng)對(duì)。#網(wǎng)絡(luò)安全 #開(kāi)源安全

黑客盜用 React Native、GlueStack 開(kāi)發(fā)團(tuán)隊(duì)賬號(hào)，在 NPM 平臺(tái)發(fā)布 16 個(gè)惡意軟件包，下載量每周超百萬(wàn)次。惡意代碼植入 @react-native-aria/focus 等包中，具備遠(yuǎn)程控制、信息竊取功能。 #網(wǎng)絡(luò)安全# #黑客攻擊#

科技媒體 bleepingcomputer 昨日（1 月 3 日）發(fā)布博文，報(bào)道稱安全研究人員發(fā)現(xiàn)，有不法分子利用名稱高度相似的惡意軟件包，假冒以太坊開(kāi)發(fā)工具 Hardhat，竊取開(kāi)發(fā)者的私鑰和其他敏感數(shù)據(jù)。

The Hacker News 昨日（7 月 16 日）發(fā)布博文，報(bào)道稱 npm 軟件包列表中發(fā)現(xiàn)了 2 個(gè)惡意軟件包，可以執(zhí)行從遠(yuǎn)程服務(wù)器發(fā)送的惡意命令。

npm 是一個(gè) Node.js 包管理和分發(fā)工具，于 2020 年被 Github 收購(gòu)，開(kāi)發(fā)者可在該倉(cāng)庫(kù)上傳托管或下載軟件包。近日，Sonatype 安全研究團(tuán)隊(duì)發(fā)現(xiàn) npm 注冊(cè)表中充斥著 748 個(gè)奇特的“軟件包”，每個(gè)包的大小約為 54.5 MB，并以“wlwz”前綴命名。

當(dāng)程序包在 npm 注冊(cè)表上展示的 maniefest 信息，與安裝該程序包時(shí)使用的發(fā)布的 npm 包 tarball 中的實(shí)際的 “package.json” 文件不一致時(shí)，就會(huì)發(fā)生 Manifest 混淆。

上周六，一個(gè)很小的 JavaScript 庫(kù)的更新使得大部分 JavaScript 生態(tài)系統(tǒng)陷入了混亂。據(jù) ZDNet 指出，大約有數(shù)百萬(wàn)個(gè)項(xiàng)目在這一事件中受到了影響

微軟旗下的Github今天宣布收購(gòu)npm，npm是Node軟件包管理器、npm Registry和npm CLI背后的公司。 npm是JavaScript運(yùn)行時(shí)環(huán)境Node.js的默認(rèn)包管理器。截至今天，npm為大約1200萬(wàn)開(kāi)發(fā)人員提供了130萬(wàn)個(gè)軟件包

去年我們報(bào)導(dǎo)過(guò)HTTP客戶端request庫(kù)將被棄用的計(jì)劃，目前該項(xiàng)目的npm與GitHub主頁(yè)均已顯示，自2020年2月11日起，request已完全棄用，預(yù)計(jì)不會(huì)有新的變更

Microsoft 的漏洞研究團(tuán)隊(duì)在 npm（Node Package Manager） 存儲(chǔ)庫(kù)中發(fā)現(xiàn)了一個(gè)惡意 JavaScript 程序包，可從 UNIX 系統(tǒng)竊取敏感信息。

Npm 團(tuán)隊(duì)近日發(fā)布了安全警報(bào)，建議所有用戶更新到最新版本（6.13.4），以防止“二進(jìn)制植入”（binary planting）攻擊。

NPM 公司，JavaScript 包管理器 npm 的維護(hù)者。今年8 月份時(shí)，Standard JS在項(xiàng)目中實(shí)驗(yàn)性內(nèi)置廣告的事件引發(fā)熱議，這些廣告通過(guò)一個(gè)名為Funding的npm軟件包展示在終端，該軟件包包含在Standard的代碼庫(kù)中。

npm是JavaScript的包管理工具，也是世界上最大的軟件注冊(cè)中心，目前維護(hù)著100多萬(wàn)軟件包。

不久前，Standard JS在項(xiàng)目中實(shí)驗(yàn)性內(nèi)置廣告的事件引起廣泛討論的，之后npm公司宣布將禁止此類終端廣告行為。根據(jù) The Register 報(bào)道，現(xiàn)在npm提出了以Patreon方式給開(kāi)源開(kāi)發(fā)者捐贈(zèng)的想法