A campanha de malware "TrapDoor" é uma nova ameaça para desenvolvedores de criptomoedas, utilizando ataques de cadeia de suprimentos através de pacotes maliciosos para sequestrar ferramentas de codificação de IA. Ela se infiltra em ambientes de desenvolvimento para roubar ativos digitais, representando uma evolução sofisticada nas táticas cibercriminosas.
Um ataque de seis minutos comprometeu o modelo de confiança do desenvolvimento moderno de JavaScript, distribuindo 84 versões maliciosas em 42 pacotes do namespace @tanstack através de um pipeline de lançamento legítimo. O "worm" se espalhou para mais de 170 pacotes no npm e PyPI, afetando mais de 518 milhões de downloads cumulativos e visando o roubo de credenciais.
A campanha de ataque à cadeia de suprimentos TeamPCP foi retomada, comprometendo o pacote AI xinference, Checkmarx KICS e o Bitwarden CLI. Isso demonstra métodos de ataque sofisticados que afetam diretamente a segurança da IA, visando uma estrutura popular de serviço de modelos LLM/ML.
Assistentes de codificação de IA podem sugerir pacotes de software inexistentes que atacantes registram com malware, criando uma vulnerabilidade conhecida como "alucinação de pacote". Esse vetor de ataque permite a instalação de pacotes maliciosos, comprometendo a segurança de projetos de desenvolvimento.
O grupo de ameaças TeamPCP roubou 5GB do código-fonte da Mistral AI através de um ataque à cadeia de suprimentos, exigindo US$ 25.000 ou ameaçando vazar os dados. A Mistral AI confirmou a violação, mas afirmou que os repositórios principais e dados de usuários não foram afetados.
Versões maliciosas do pacote npm node-ipc foram descobertas contendo payloads de roubo/backdoor. O malware coleta credenciais de ferramentas de IA e serviços de nuvem como AWS, Azure e GCP, exfiltrando dados via HTTPS e DNS.
Um ataque de cadeia de suprimentos no NPM contornou a autenticação de dois fatores do GitHub, comprometendo a conta de um desenvolvedor e publicando pacotes maliciosos. Isso coloca em risco o ecossistema JavaScript, com possíveis impactos em milhares de projetos dependentes, destacando vulnerabilidades na segurança de software.
A OpenAI respondeu ao comprometimento da ferramenta de desenvolvimento da Axios girando os certificados de assinatura de código do macOS e atualizando seus aplicativos. A empresa confirmou que nenhum dado de usuário foi comprometido durante o ataque à cadeia de suprimentos.
Um ataque sofisticado na cadeia de suprimentos npm atingiu 42 pacotes TanStack, publicando 84 versões maliciosas em 6 minutos. O ataque explorou um gatilho perigoso do GitHub Actions, sem necessidade de senhas roubadas.