[ad_1]
برخی از بارهای بار فقط در تاریخ های خاص در سال 2023 فقط به منفجر شدن محدود می شدند ، اما در بعضی موارد مرحله ای که قرار بود در ژوئیه همان سال آغاز شود ، تاریخ خاتمه داده نشده است. پاندیا گفت که این بدان معنی است که این تهدید پایدار است ، اگرچه در یک ایمیل وی نیز نوشت: “از آنجا که تمام تاریخ های فعال سازی گذشته است (ژوئن 2023 – August 2024) ، هر توسعه دهنده پس از استفاده از بسته بندی عادی امروز بلافاصله باعث بارهای مخرب از جمله خاموش کردن سیستم ، حذف پرونده و فساد نمونه اولیه Javascript می شود.”
جالب اینجاست که کاربر NPM که بسته های مخرب را با استفاده از آدرس ایمیل ثبت نام 1634389031@qq ارسال کرده است[.]com ، همچنین بسته های کاری را که هیچ کارکرد مخرب در آنها وجود ندارد ، بارگذاری کرد. پاندیا گفت ، رویکرد ارسال هر دو بسته مضر و مفید به ایجاد “نمای مشروعیت” کمک کرده است که احتمال اینکه بسته های مخرب بدون توجه به آن باشند ، افزایش می یابد. سؤالاتی که به آن آدرس از طریق ایمیل ارسال شده ، هیچ پاسخی دریافت نکردند.
بسته های مخرب ، کاربران برخی از بزرگترین اکوسیستم برای توسعه دهندگان JavaScript ، از جمله React ، Vue و Vite را هدف قرار دادند. بسته های خاص عبارت بودند از:
هرکسی که هر یک از این بسته ها را نصب کرده باشد باید سیستم های خود را با دقت بازرسی کند تا مطمئن شود که دیگر در حال اجرا نیستند. این بسته ها کاملاً از ابزارهای توسعه قانونی تقلید می کنند ، بنابراین ممکن است برای آنها آسان نباشد که کشف نشده باشند.
[ad_2]
منبع:arstechnica
