Das Security Research Team des Supply Chain-Anbieters JFrog hat eine komplexe Bedrohung für die Lieferkette auf npm entdeckt, einem Open-Source-Software-Repository.
Den Forschern zufolge handelt es sich um acht bösartigen Paketen auf npm, einem der weltweit größten Repositorys für Open-Source-JavaScript-Komponenten, das von 17 Millionen Entwicklern genutzt wird.
Die Pakete, darunter react-sxt (Version 2.4.1), react-typex (Version 0.1.0) und react-native-control (Version 2.4.1), wurden von böswilligen npm-Benutzern hochgeladen und enthielten eine hochentwickelte multi-layer Verschleierung mit über 70 Layern versteckten Codes, die es Angreifern ermöglichte, bösartige Payloads auf Entwicklerrechnern ohne Benutzerinteraktion auszuführen.
