.avif)
Charlie Eriksen
Posts do blog de Charlie Eriksen
Confusão com npx: Pacotes que Esqueceram de Reivindicar Seus Próprios Nomes
Reivindicamos 128 nomes de pacotes npm não reivindicados que documentações oficiais instruíam os desenvolvedores a usar npx. Sete meses depois: 121.000 downloads. Todos teriam executado código arbitrário.
Extensão Falsa do Clawdbot para VS Code Instala ScreenConnect RAT
Uma extensão maliciosa do VS Code, personificando o Clawdbot, está instalando o ScreenConnect RAT em máquinas de desenvolvedores.
G_Wagon: Pacote npm Implanta Stealer Python Visando Mais de 100 Carteiras de Criptomoedas
O pacote npm ansi-universal-ui entrega o infostealer GWagon, visando mais de 100 carteiras de criptomoedas, credenciais de navegador e chaves de Cloud. Analisamos todas as 10 versões enquanto o atacante iterava em tempo real.
Caindo no Phishing: Pacotes npm Servindo Páginas Personalizadas de Coleta de Credenciais
Uma campanha de spear-phishing direcionada usou npm packages e jsDelivr como infraestrutura de phishing gratuita, servindo coletores de credenciais personalizados por vítima.
Pacotes PyPI Maliciosos spellcheckpy e spellcheckerpy Entregam RAT Python
Atacantes publicaram pacotes falsos de verificador ortográfico no PyPI com malware escondido à vista. Analisamos o ataque e o que os desenvolvedores precisam observar.
Habilidades de Agente Estão Espalhando Comandos npx Alucinados
As habilidades de agentes de IA estão propagando comandos npx alucinados, criando riscos reais de segurança e confiabilidade para desenvolvedores e cadeias de suprimentos.
JavaScript, MSBuild e Blockchain: Anatomia do Ataque à Cadeia de Suprimentos npm NeoShadow
Uma análise técnica aprofundada do ataque à cadeia de suprimentos npm NeoShadow, detalhando como as técnicas de JavaScript, MSBuild e blockchain foram combinadas para comprometer desenvolvedores.
Shai Hulud ataca novamente - O caminho dourado
Uma nova cepa de Shai Hulud foi observada em ambiente real.
Primeiro Malware Sofisticado Descoberto no Maven Central via Ataque de Typosquatting em Jackson
Descobrimos a primeira campanha de malware sofisticada no Maven Central: um pacote Jackson com typosquatting entregando payloads multiestágio e beacons Cobalt Strike via autoexecução do Spring Boot.
O Fork Desperta: Por que as Redes Invisíveis do GitHub Quebram a Segurança de Pacotes
Uma análise aprofundada de uma falha de segurança no GitHub onde commits bifurcados permitiam que invasores falsificassem dependências. Entenda o problema do commit SHA e por que os gerenciadores de pacotes precisam de proteção em nível de API.
Shai Hulud 2.0: O que o Observador Desconhecido nos Revela sobre o Objetivo Final dos Atacantes
Novas pesquisas sobre o malware Shai Hulud 2.0 sugerem que o nome de usuário UnknownWonderer1 nos diz mais sobre o objetivo final dos atacantes.
Shai Hulud Lança Segundo Ataque à Cadeia de Suprimentos: Zapier, ENS, AsyncAPI, PostHog, Postman Comprometidos
O ator de ameaça por trás de "Shai Hulud 2.0" lançou uma nova campanha de malware comprometendo a cadeia de suprimentos de Zapier, ENS Domains e outros — expondo Secrets, injetando código malicioso e possibilitando a tomada generalizada de ambientes de desenvolvedor.
Fique seguro agora
Proteja seu código, Cloud e runtime em um único sistema centralizado.
Encontre e corrija vulnerabilidades rapidamente de forma automática.
