Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"В репозитории NPM выявлены четыре пакета, пересылающие данные о пользователе"	+/–
Сообщение от opennews (?), 05-Окт-20, 21:06
В репозитории NPM выявлена вредоносная активность в четырёх пакетах, включающих preinstall-скрипт, который перед установкой пакета отправлял на GitHub комментарий с информацией об IP-адресе, местоположении, логине, модели CPU и домашнем каталоге пользователя. Вредоносный код был найден в пакетах electorn (255 загрузок), lodashs (78 загрузок), loadyaml (48 загрузок) и loadyml (37 загрузок)... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=53836
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+17 +/–
Сообщение от дедушка старый (?), 05-Окт-20, 21:06
А я вам говорил!
Ответить | Правка | Наверх | Cообщить модератору

	38. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–1 +/–
	Сообщение от Аноним (38), 06-Окт-20, 08:12
	https://www.opennet.ru/openforum/vsluhforumID3/122007.html#118
	Ответить | Правка | Наверх | Cообщить модератору

2. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+23 +/–
Сообщение от A.Stahl (ok), 05-Окт-20, 21:10
Четыре? Четыре штуки? Не четыре тысячи? Тю, всего-то. Я пользуюсь Андроид телефоном, запускаю виндовые бинарные блобы без всяких песочниц и мои данные светятся во всяких гос.службах от ЖЕКа до налоговой. Пфф, испугали тоже мне... Четыре пакета. Вы ещё скажите что в четырёх километрах от столицы обнаружили контейнер с четырьмя атомами радиоактивного вещества.
Ответить | Правка | Наверх | Cообщить модератору

	15. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–4 +/–
	Сообщение от Аноним (15), 05-Окт-20, 23:09
	Интересно, как это ты запускаешь на Андроеде виндовые ехешники?
	Ответить | Правка | Наверх | Cообщить модератору

	19. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+3 +/–
	Сообщение от A.Stahl (ok), 05-Окт-20, 23:23
	Я не запускаю на Андроиде виндовые ехешники.
	Ответить | Правка | Наверх | Cообщить модератору

	52. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+2 +/–
	Сообщение от Аноним (52), 06-Окт-20, 21:36
	У него там "," он делает и это и то и возможно другие противозаконные действия.
	Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

	47. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
	Сообщение от слива (?), 06-Окт-20, 13:34
	Скоро в метро будешь оплачивать проход рожей.
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

	51. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
	Сообщение от Денис (??), 06-Окт-20, 15:17
	В метро могут и паспорт попросить, а если нет, то IMEI от телефона (обожают менты проверять).
	Ответить | Правка | Наверх | Cообщить модератору

	53. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+1 +/–
	Сообщение от Аноним (52), 06-Окт-20, 21:37
	Паспорт уже не интересен биометрия пошла в полный рост.
	Ответить | Правка | Наверх | Cообщить модератору

	57. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
	Сообщение от Дерьмократ (?), 07-Окт-20, 16:21
	> В метро могут и паспорт попросить, а если нет, то IMEI от > телефона (обожают менты проверять). Проверка imei вообще законна?
	Ответить | Правка | К родителю #51 | Наверх | Cообщить модератору

3. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+23 +/–
Сообщение от Аноним (3), 05-Окт-20, 21:19
Выявлены четыре позорных пакета, которые пересылают данные ТОЛЬКО О ПОЛЬЗОВАТЕЛЕ. Все остальыне пересылают всё, к чему имеют доступ!
Ответить | Правка | Наверх | Cообщить модератору

	23. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+1 +/–
	Сообщение от gogo (?), 06-Окт-20, 04:23
	Таки да. Главное, придумать мало-мальски правдоподобный повод. Типа "нам нужно знать разрешение экрана юзеров для какой-то там фичи"....
	Ответить | Правка | Наверх | Cообщить модератору

7. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–1 +/–
Сообщение от Ананимус (?), 05-Окт-20, 21:26
Meh. По-моему, кроме того факапа с leftpad, никто так ни разу и не смог распросранить свой зловред через пакетные репозитории с какими-то действительно серьезными последствиями.
Ответить | Правка | Наверх | Cообщить модератору

	11. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+1 +/–
	Сообщение от имя_ (?), 05-Окт-20, 21:48
	https://www.trendmicro.com/vinfo/nz/security/news/cybercrime... хотя бы
	Ответить | Правка | Наверх | Cообщить модератору

	12. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–6 +/–
	Сообщение от Ананимус (?), 05-Окт-20, 22:03
	Ну там с дюжину подобных историй есть. Импакт-то какой?
	Ответить | Правка | Наверх | Cообщить модератору

	24. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+3 +/–
	Сообщение от gogo (?), 06-Окт-20, 04:25
	Ты настаиваешь, что не нужно креститься, если гром гремит не очень сильно?
	Ответить | Правка | Наверх | Cообщить модератору

	58. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–1 +/–
	Сообщение от Ананимус (?), 07-Окт-20, 17:13
	> Ты настаиваешь, что не нужно креститься, если гром гремит не очень сильно? Я хочу сказать, что если security team успевает чинить подобные проблемы раньше, чем они нанесут какой-то существенный вред, значит модель в целом работает хорошо.
	Ответить | Правка | Наверх | Cообщить модератору

	40. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+2 +/–
	Сообщение от Аноним (38), 06-Окт-20, 08:14
	хреносимы с ногосракой тоже только две было, у тебя явно не было курса логики в БГУИР с летающими котлетами
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	59. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
	Сообщение от Ананимус (?), 07-Окт-20, 17:29
	> хреносимы с ногосракой тоже только две было, у тебя явно не было > курса логики в БГУИР с летающими котлетами Не вижу аналогичных происшествий с npm. Все случившееся на уровне "баба срака сломала себе копчик в попытках вытереть жопу".
	Ответить | Правка | Наверх | Cообщить модератору

9. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+24 +/–
Сообщение от Аноним (9), 05-Окт-20, 21:35
в лесу выявлены четыре дерева
Ответить | Правка | Наверх | Cообщить модератору

	10. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+1 +/–
	Сообщение от онанимуз (?), 05-Окт-20, 21:42
	this
	Ответить | Правка | Наверх | Cообщить модератору

	16. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+1 +/–
	Сообщение от Аноним (15), 05-Окт-20, 23:10
	Это всё, что нужно знать об экосистеме JS.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	30. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+2 +/–
	Сообщение от bergentroll (ok), 06-Окт-20, 05:44
	NPM как-то в корне отличается от PyPI, RubyGems, CPAN etc?
	Ответить | Правка | Наверх | Cообщить модератору

	54. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–1 +/–
	Сообщение от Аноним (54), 06-Окт-20, 23:29
	контингентом
	Ответить | Правка | Наверх | Cообщить модератору

	55. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
	Сообщение от коржик (?), 07-Окт-20, 07:36
	Nuget crates и все что с java связано так же внушают куда больше доверия
	Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

13. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–3 +/–
Сообщение от darkshvein (ok), 05-Окт-20, 22:41
эм. всего четыре? четыри сотни или 4 тысячи?
Ответить | Правка | Наверх | Cообщить модератору

14. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
Сообщение от Аноним (14), 05-Окт-20, 23:01
В стоге игл  нашли иголки.... следующая новость в толпе людей нашли человека а у человека нашли две руки две ноги
Ответить | Правка | Наверх | Cообщить модератору

17. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+1 +/–
Сообщение от Ordu (ok), 05-Окт-20, 23:15
Забавно. Когда аноним опеннета не согласен с комментом, он отвечает на этот коммент и возникает тред. Когда аноним опеннета согласен с комментом, он создаёт новый тред, пытаясь развить тему. Странно, почему так?
Ответить | Правка | Наверх | Cообщить модератору

	31. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–1 +/–
	Сообщение от bergentroll (ok), 06-Окт-20, 05:45
	В одном случае пытается закидать, во втором — раздуть.
	Ответить | Правка | Наверх | Cообщить модератору

	32. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–3 +/–
	Сообщение от КО (?), 06-Окт-20, 06:36
	Поэтому это называется комментарии, а не всякие тупые модные новые слова
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	35. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–1 +/–
	Сообщение от Денис (??), 06-Окт-20, 07:53
	> Странно, почему так? Все упражняетесь в психологии?
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	41. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
	Сообщение от Ordu (ok), 06-Окт-20, 08:30
	>> Странно, почему так? > Все упражняетесь в психологии? Нет, просто наблюдаю.
	Ответить | Правка | Наверх | Cообщить модератору

18. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–1 +/–
Сообщение от Аноним (-), 05-Окт-20, 23:19
Хруст решит эту проблему, усложненная реверсинженерия сделает невозможным для пользователя защитить себя.
Ответить | Правка | Наверх | Cообщить модератору

	21. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+1 +/–
	Сообщение от Аноним (21), 05-Окт-20, 23:28
	Естествнно. А чего ещё ожидать от поделки придуманной неудачниками вендузятниками. Этож их вечная головная боль... ааааа библиотеку поставить, всё, караул, надо звать гуру и взывать к богам. Этож непосильная задача.
	Ответить | Правка | Наверх | Cообщить модератору

20. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+2 +/–
Сообщение от Аноним (21), 05-Окт-20, 23:27
Кто бы сомневался.
Ответить | Правка | Наверх | Cообщить модератору

22. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–1 +/–
Сообщение от MintUser (?), 06-Окт-20, 04:08
Главное что выявили. Значит какой то контроль осуществляется. И в последующим будет усилен, предположительно.
Ответить | Правка | Наверх | Cообщить модератору

	37. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+1 +/–
	Сообщение от Аноним (37), 06-Окт-20, 08:10
	Контроль на полном ручном управлении гнилью.
	Ответить | Правка | Наверх | Cообщить модератору

25. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–4 +/–
Сообщение от Денис (??), 06-Окт-20, 04:40
> домашнем каталоге пользователя В смысле? Название каталога, список файлов или все содержимое? Еще одна причина ничего там не хранить, для этого есть отдельные разделы. Кто перешел с винды, у того так и есть. Разве что NTFS вместо ext4, но это поправимо.
Ответить | Правка | Наверх | Cообщить модератору

	27. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
	Сообщение от Google (?), 06-Окт-20, 04:53
	btc waller и $HOME/.ssh*
	Ответить | Правка | Наверх | Cообщить модератору

	28. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
	Сообщение от Google (?), 06-Окт-20, 04:54
	Чем тебе это поможет от запуска агента reverse NAT shell?
	Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

26. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
Сообщение от Google (?), 06-Окт-20, 04:52
docker run yarn/npm
Ответить | Правка | Наверх | Cообщить модератору

29. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
Сообщение от Аноним (37), 06-Окт-20, 04:55
https://github.com/evilsocket/opensnitch
Ответить | Правка | Наверх | Cообщить модератору

33. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–2 +/–
Сообщение от zurapa (ok), 06-Окт-20, 07:22
И вот опять... Дуршлаг. Весь NPM можно переименовать в Дуршлаг.
Ответить | Правка | Наверх | Cообщить модератору

	34. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+1 +/–
	Сообщение от Аноним (34), 06-Окт-20, 07:38
	Эта проблема касается любых пакетных менеджеров, которые могут выполнять скрипты. По идее их все нужно изолировать в песочнице
	Ответить | Правка | Наверх | Cообщить модератору

	36. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–1 +/–
	Сообщение от Аноним (37), 06-Окт-20, 08:00
	https://deno.land/ ( https://github.com/denoland/deno )
	Ответить | Правка | Наверх | Cообщить модератору

	39. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	–1 +/–
	Сообщение от Lex (??), 06-Окт-20, 08:13
	Просто надо «внезапно» внимательно смотреть, что на клавиатуре набираешь, когда речь о названиях модулей.
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	42. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+2 +/–
	Сообщение от Онаним (?), 06-Окт-20, 09:26
	О чём вы. Эти ребята действительно считают, что говнорепозитарии сами за них всё сделают. А уж про ревью зависимостей вообще речи нет. В итоге даже нормальные "честные" зависимости в этих говнорепах меняют API, и говнопроекты разлетаются в хлам. Нормальные проекты синхронизируют определённые версии зависимостей и производят шаговое обновление с учётом изменений в таковых, гарантируя работоспособность результирующей системы. Кто из тянущих проект любит риск - обновляет их дальше и выступает в роли мейнтейнера bleeding edge кода уже сам. Кто не любит - сидит на стабильных версиях, которые дали мейнтейнеры проекта, и не дёргается.
	Ответить | Правка | Наверх | Cообщить модератору

	46. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+1 +/–
	Сообщение от Аноним (46), 06-Окт-20, 11:13
	Это же старый код! Это вчера он был отличным решением и бибикал, а сегодня он уже не тот! Бибикать надо по графику с сайта РЖД и на 2 тона ниже!
	Ответить | Правка | Наверх | Cообщить модератору

	43. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
	Сообщение от Онаним (?), 06-Окт-20, 09:28
	npm, cpan, composer-based и прочее, в целом. Все говнорепы зло, если у тебя серьёзный проект - ты берёшь определённые релизные версии прямо с авторских репозитариев, и дальше либо обновляешь с ревью самостоятельно, либо бэкпортишь какие-то фиксы, и т.д.
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	44. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
	Сообщение от Онаним (?), 06-Окт-20, 09:29
	Нет, допустим можно отдать конфиг композера вместе с проектом и пользоваться композером. Но в самом проекте должен идти код зависимостей, с которым проект однозначно работает.
	Ответить | Правка | Наверх | Cообщить модератору

45. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
Сообщение от Q2W (?), 06-Окт-20, 09:49
Мне вот интересно: для js же запилили суперкрутые песочницы в браузерах. Потом взяли браузерную реализацию js и вынесли из браузера в nodejs. Так песочницу чё с собой-то не взяли? Сейчас бы устанавливали себе эти модули где-то локально в песочнице каждой приложухи и всё. Безо всяких доступов куда не следует.
Ответить | Правка | Наверх | Cообщить модератору

	48. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+1 +/–
	Сообщение от Lex (??), 06-Окт-20, 13:51
	> Мне вот интересно: для js же запилили суперкрутые песочницы в браузерах. > Потом взяли браузерную реализацию js и вынесли из браузера в nodejs. Там не совсем браузерную реализацию перенесли. Соль ноды в том, что она поддерживает в т.ч "нативные" модули, тогда как в случае с браузерами - только чистый JS и его подобия. В данном случае даже не в ноде дело, а в менеджере пакетов. Просто обычно ожидается, что разработчики хоть изредка, но будут смотреть на то, что пишут и их уровень знания ПК и проч ощутимо выше такового чем у какой-то бабки из деревни, которая только и умеет что новости в тырнете читать.
	Ответить | Правка | Наверх | Cообщить модератору

	49. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
	Сообщение от Онаним (?), 06-Окт-20, 15:06
	Вот с "уровнями знания ПК", а если точнее - с умением администрировать системы, пакеты, модули - даже собственных разработок - там обычно полный швах.
	Ответить | Правка | Наверх | Cообщить модератору

	50. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+1 +/–
	Сообщение от Онаним (?), 06-Окт-20, 15:07
	Даже придумали модель "каждый девелопер администратор" и "инфраструктура тоже код" - девляпс называется. Но с учётом квалификации эта модель у них работает так, как и должна - через пень-колоду.
	Ответить | Правка | Наверх | Cообщить модератору

	60. "В репозитории NPM выявлены четыре пакета, пересылающие данны..."	+/–
	Сообщение от Lex (??), 08-Окт-20, 15:22
	> Даже придумали модель "каждый девелопер администратор" и "инфраструктура тоже код" - девляпс > называется. > Но с учётом квалификации эта модель у них работает так, как и > должна - через пень-колоду. Работает она вполне нормально, если хотя бы через раз смотреть какой пакет устанавливается( т.е правильно ли набрано его название ). И, в первую очередь, применять лишь хорошо известные и популярные модули с постоянным большим количеством скачиваний( т.е если скачиваний ок 20 / нед - это по-любому васяновский пакет с черти чем внутри ).. и, в цело, стремиться использовать пакетов столь мало, сколь это возможно. А если не смотреть - так тут и достаточно и просто выхода в интернет с вводом адреса типа мой_любимый_банкК.ком и никакой ноды с энпиэмом не нужно )
	Ответить | Правка | Наверх | Cообщить модератору

56. Скрыто модератором	+/–
Сообщение от Аноним (-), 07-Окт-20, 16:05
Молодцы! Оперативно прореагировали. У многих, у тех у кого чёрная душа, пердаки полопались. Крякер! Не лезь в Свободное программное обеспечение! Тысяча глаз вам наваляют!
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема