Berita ME, 17 Juni (UTC+8), menurut pemantauan SlowMist, serangan rantai pasokan terkoordinasi sedang berlangsung terhadap lebih dari 140 paket npm. Paket yang terdampak secara otomatis menambahkan ketergantungan pada easy-day-js@^1.11.21 saat diinstal, yang akan secara otomatis diresolusi menjadi versi jahat easy-day-js@1.11.22, memicu kode yang dikendalikan penyerang melalui hook saat instalasi. Perilaku penyerang potensial meliputi: mengeksekusi kode saat instalasi, mempertahankan persistensi di Windows/macOS/Linux, mengumpulkan riwayat browser, mendata ekstensi dompet kripto, mengekspos kredensial atau kunci CI melalui operasi lanjutan, serta kebocoran data. Untuk sistem apa pun yang telah menginstal versi yang terdampak, anggap sebagai status potensial terserang: hapus versi jahat dan easy-day-js, hapus node_modules dan cache paket, instal ulang versi yang diketahui bersih (menggunakan file lock yang telah diverifikasi), isolasi host yang terdampak, simpan log, hapus jejak persistensi, dan ganti kredensial terkait npm, GitHub, layanan cloud, SSH/Git, CI/CD, serta dompet jika terpapar. (Sumber: Foresight News)
Lebih dari 140 Paket Mastra npm menjadi sasaran dalam serangan rantai pasokan
KuCoinFlashBagikan
Ringkasan
Lebih dari 140 paket Mastra npm menjadi sasaran serangan rantai pasokan, menurut MetaEra dan SlowMist. Malware easy-day-js@1.11.22 menyisipkan dirinya sebagai dependensi, memungkinkan eksekusi kode dan pencurian data. Penyerang dapat mengakses data on-chain, mencuri riwayat browser, dan mendeteksi dompet kripto. Sistem yang menggunakan versi yang terdampak harus menghapus paket tersebut, membersihkan node_modules dan cache, menginstal ulang versi yang telah diverifikasi, mengisolasi host, serta mengganti kredensial. Skenario serangan 51% kemungkinan kecil tetapi tetap mungkin terjadi jika kredensial atau kunci CI terbuka. Log harus disimpan untuk investigasi.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.