npm

Ein weitreichender Angriff auf das npm-Ökosystem sorgt derzeit für Unruhe in der Entwickler-Community. Mehr als 40 Pakete, darunter das weit verbreitete "@ctrl/tinycolor" mit über zwei Millionen wöchentlichen Downloads, wurden kompromittiert. Der Vorfall zeigt eindrücklich, wie professionell und automatisiert Angriffe auf die Software-Lieferkette inzwischen ablaufen.

Ein gezielter Phishing-Angriff auf einen Maintainer hat weitreichende Folgen für das npm-Ökosystem: 20 weit verbreitete Pakete wurden mit Schadcode infiziert. Betroffen sind Bibliotheken, die wöchentlich Milliardenfach heruntergeladen werden und in zahlreichen Projekten zum Einsatz kommen. Die eingeschleuste Malware zielt insbesondere auf den Diebstahl von Kryptowährungen ab.