Скомпрометированный пакет JavaScript крадет учетные данные npm

Скомпрометированный пакет JavaScript крадет учетные данные npm

Скомпрометированный пакет JavaScript крадет учетные данные npm

Киберпреступник получил доступ к учетной записи npm (менеджер пакетов, входящий в состав Node.js) разработчика и внедрил вредоносный код в популярную библиотеку JavaScript. Этот код разработан для кражи учетных данных npm тех, кто будет использовать вредоносный пакет в своих проектах.

Скомпрометированный пакет называется eslint-scope — подмодуль более известного инструмента ESLint, используемого для анализа кода JavaScript.

Согласно информации, опубликованной на GitHub несколько часов назад, кибервторжение произошло в ночь с 11 на 12 июля.

«Один из наших разработчиков обратил внимание, что новый токен npm был сгенерирован ночью», — объясняет Кевин Партингтон, представитель проекта ESLint.

Партингтон считает, что злоумышленник использовал новый токен для аутентификации и загрузки новой версии библиотеки eslint-scope в репозиторий пакетов JavaScript. Вредоносной версией стала eslint-scope 3.7.2, в настоящее время она удалена.

«Судя по всему, вредоносный код крал учетные данные npm, поэтому мы рекомендуем всем, кто скачал эту версию, поменять свои пароли, а также по возможности отменить токены и сгенерировать новые», — продолжает Партингтон.

Есть основания полагать, что киберпреступнику удалось собрать данные приблизительно 4 500 учетных записей. Однако нет доказательств того, что какие-либо токены были использованы для доступа к учетным записям npmjs.com.

Сообщается, что разработчик, с которого началась компрометация, изменил пароль и настроил двухфакторную аутентификацию. Также он сгенерировал овые токены для доступа к его существующим библиотекам npm.

ИТ-компаниям объяснили порядок применения языковых ограничений с 1 марта

С 1 марта 2026 года в России начнут действовать ограничения на использование иностранных слов в информации для потребителей. Новые требования затронут и ИТ-компании, если они работают с физическими лицами. Суть изменений проста: вся информация для публичного ознакомления потребителей должна быть на русском языке.

Об этом участникам рынка рассказали на закрытом вебинаре ассоциации АРПП «Отечественный софт».

Иностранные слова допускаются, но только при обязательном равнозначном переводе, идентичном по смыслу, оформлению и размещению. То есть если где-то написано Sale или Open, рядом должно быть полноценное «Распродажа» или «Открыто», а не мелкая приписка в углу.

Требования распространяются на изготовителей, продавцов и исполнителей услуг, которые работают с гражданами, покупающими товары или услуги для личных нужд. B2B-сегмент и внутренняя коммуникация компаний под новые нормы не подпадают.

Под регулирование попадают вывески, указатели и таблички в местах обслуживания — например, Reception или Checkout. Впрочем, есть исключения: зарегистрированные товарные знаки, фирменные наименования, слова из нормативных словарей, а также случаи, предусмотренные техническими регламентами.

Для ИТ-бизнеса важный момент — формат работы. Если компания оказывает услуги физлицам, например настраивает или сопровождает программное обеспечение, требования её касаются. То же самое может относиться к SaaS-модели: в ряде судебных решений её трактуют как оказание услуг. А вот передача прав по лицензионному договору под действие закона не подпадает.

Отдельный вопрос — онлайн-среда. Формально закон ориентирован на офлайн-пространство, но разъяснения Роспотребнадзора допускают, что сайты могут приравниваться к общедоступным местам. Поэтому бизнесу советуют внимательно следить за дальнейшими официальными комментариями.

Эксперты рекомендуют компаниям уже сейчас провести аудит публичной информации: понять, подпадает ли она под новые требования, проверить возможные исключения и при необходимости добавить полноценный русский перевод. Иначе с весны можно столкнуться с претензиями со стороны контролирующих органов.

RSS: Новости на портале Anti-Malware.ru