В ходе мониторинга цепочки поставок npm выявлен новый образец вредоносного ПО семейства Mini Shai-Hulud, связанного с группировкой TeamPcp. Этот вариант стал очередной итерацией давно известной кампании, направленной на разработчиков.
В реестре пакетов npm опубликована вредоносная программа, маскирующаяся под AI-инструмент для разработчиков на блокчейне. Пакет @copilot-mcp/apex, по данным из открытых источников, при установке запускает
Инцидент, затронувший экосистему блокчейна Injective, выявил опасный вектор атаки на цепочку поставок программного обеспечения. Специалисты по безопасности из компаний Socket и SlowMist независимо друг от друга обнаружили, что версия 1.
14 июля 2026 года подразделение Microsoft Threat Intelligence зафиксировало скоординированную атаку на цепочку поставок, направленную на организацию @asyncapi в реестре npm.
В мае и июле 2026 года в реестре npm была выявлена масштабная кампания, состоящая из 148 вредоносных пакетов, которые маскировались под студенческие веб-прокси. Пакеты с названиями вроде ilovefemboys
14 июля 2026 года злоумышленники скомпрометировали пять официальных npm-пакетов проекта AsyncAPI, получив доступ к веткам GitHub, триггерящим автоматическую публикацию.
14 июля 2026 года злоумышленник предпринял скоординированную атаку на экосистему AsyncAPI, открыв 37 pull request-ов к репозиторию asyncapi/generator. Почти все они содержали фиктивные страницы для пожертвований
Специалисты по информационной безопасности выявили пять вредоносных публикаций в репозитории npm, связанных с экосистемой AsyncAPI. Инцидент затронул пакеты @asyncapi/specs версий 6.
14 июля 2026 года злоумышленник, действовавший под учётной записью GitHub с идентификатором 148100, получил доступ к двум репозиториям проекта AsyncAPI и опубликовал вредоносные версии четырёх npm-пакетов.
Исследователи OX Research обнаружили в реестре npm вредоносный пакет polymarket-kit, предназначенный для многоэтапной кражи криптовалютных средств и данных аутентификации.
