UNC1069 Axios кардарчысынын социалдык инженериясы npm жеткирүү чынжырына кол салууга алып келди

Токто, иштеп чыгуучулар. UNC1069 Axios кардарчысына социалдык инженериянын татаал кол салуусун жасады, 1.14.1 жана 0.30.4 версияларын бузду. Бул жөн гана npm драмасы эмес — бул 100 млн апталык жүктөөлөрү бар китепканага кол салуу. Түндүк Корея менен байланышкан коркунучтуу актёр кардарчыга кирүү укугун алуу жана зыяндуу жаңыртууларды түртүү үчүн акылдуу социалдык инженерияны колдонду. Эгер сиз Axios колдонуп жатсаңыз, версияларыңызды ДАРОО текшериңиз.

Кол салуу вектору? Таза социалдык инженерия. UNC1069, Түндүк Корея менен байланышкан коркунучтуу актёр, кардарчыны манипуляциялап кирүү укугун алып, андан кийин npmге зыяндуу жаңыртууларды түрттү. Бул жөн гана аккредитивтерди уурдоо эмес — бул дүйнө жүзү боюнча эң кеңири колдонулган JavaScript китепканасына зыяндуу программаны киргизүү. Бузулган версиялар аныкталганга чейин бир нече саат иштеди, демек, эсепсиз долбоорлор таасирленген болушу мүмкүн.

Бул окуя ачык булак экосистемаларынын эзилгичтигин кыйкырат. Бир кардарчынын аккредитивтери миллиондогон көз карандылыктарды төмөндөтө алат. UNC1069нун аракети коркунучтуу актёрлордун түз кол салуулардан кардарчылар коомчулуктарындагы ишенимди пайдаланууга кантип өтүп жатканын көрсөтөт. Эгер сиз көз карандылыкты башкаруу жана коопсуздук протоколдорун жаңыртпасаңыз, азыр убактысы — анткени кийинки кол салуу ошончо оңой аныкталбашы мүмкүн.