Привет, мир и прощай, зарплата. Одна команда в консоли лишает разработчика всех уровней доступа
NewsMakerХакеры решили, что если добавить в название домена умное слово, то никто ничего не заметит.
Кампания PhantomRaven, нацеленная на разработчиков через каталог npm, получила продолжение. Специалисты обнаружили ещё три волны атак, в рамках которых злоумышленник разместил десятки вредоносных пакетов . Большая часть таких пакетов до сих пор доступна в каталоге и может попасть в проекты разработчиков.
Компания Endor Labs выявила 88 новых вредоносных пакетов, опубликованных с ноября 2025 года по февраль 2026 года. Кампания остаётся активной: 81 пакет по-прежнему доступен в npm, а два из трёх серверов управления продолжают работать.
PhantomRaven представляет собой атаку на цепочку поставок программного обеспечения. Злоумышленник использует приём Remote Dynamic Dependencies. Такой приём позволяет скрывать вредоносный код вне самого пакета. Пакет, размещённый в npm, выглядит безобидно и содержит простой сценарий «Hello, world!». Однако в файле package.json указывается зависимость не из каталога npm, а по прямому URL-адресу. Во время обычной установки npm автоматически скачивает архив с сервера злоумышленника и выполняет код.
Первая волна PhantomRaven стала известна осенью 2025 года. Тогда обнаружили более 126 вредоносных пакетов, которые успели скачать свыше 86 000 раз. Позднее выяснилось, что общее число пакетов в той волне превышало 200.
Кампания PhantomRaven, нацеленная на разработчиков через каталог npm, получила продолжение. Специалисты обнаружили ещё три волны атак, в рамках которых злоумышленник разместил десятки вредоносных пакетов . Большая часть таких пакетов до сих пор доступна в каталоге и может попасть в проекты разработчиков.
Компания Endor Labs выявила 88 новых вредоносных пакетов, опубликованных с ноября 2025 года по февраль 2026 года. Кампания остаётся активной: 81 пакет по-прежнему доступен в npm, а два из трёх серверов управления продолжают работать.
PhantomRaven представляет собой атаку на цепочку поставок программного обеспечения. Злоумышленник использует приём Remote Dynamic Dependencies. Такой приём позволяет скрывать вредоносный код вне самого пакета. Пакет, размещённый в npm, выглядит безобидно и содержит простой сценарий «Hello, world!». Однако в файле package.json указывается зависимость не из каталога npm, а по прямому URL-адресу. Во время обычной установки npm автоматически скачивает архив с сервера злоумышленника и выполняет код.
Первая волна PhantomRaven стала известна осенью 2025 года. Тогда обнаружили более 126 вредоносных пакетов, которые успели скачать свыше 86 000 раз. Позднее выяснилось, что общее число пакетов в той волне превышало 200.