黑客再次通过“复杂而持久”的供应链攻击来针对软件开发人员。
最近，Thybyum的网络安全研究人员发现了一项新的运动，其中身份不明的黑客在包括NPM，Github和JSdelivr在内的不同代码存储库上分发了数十个恶意图书馆。
所有这些图书馆都模仿了JQuery，这是一个小型，快速且功能丰富的Javascript库，旨在简化HTML的客户端脚本。
你可能喜欢
数百个GitHub存储库被劫持以欺骗用户下载恶意软件
恶意NPM软件包使用曲折的后门来针对用户
恶意Python软件包正在窃取重要数据，并且已经下载了数千次
数十个包裹
使用jQuery，编写Javascript代码更容易，因为库提供了不同的功能，例如简化的事件处理，动画和Ajax交互。与普通Javascript相比，它允许开发人员完成使用较少的代码行的复杂任务。
Phylum说：“由于包装之间的差异很高，此攻击脱颖而出。”“攻击者在很少使用JQuery的'结束'功能中巧妙地隐藏了恶意软件，该功能是由动画实用程序中更受欢迎的'Fadeto'函数内部称为。”
到目前为止，Thylum确定了68个包裹，该包裹于今年5月下旬至6月下旬发布。包装的一些名称包括cdnjquery，footerSicons，jquertyi，jqueryxxx，logoo和sytlesheets。
这并不是黑客第一次通过武器包装套件来针对软件开发人员及其客户。但是，通常，此类活动中会有健康剂量的自动化，反映了包裹的命名方式，并在上载的日期中进行了反映。另一方面，该活动似乎是完全手动的，因为它没有检查这些盒子中的任何一个。
你是专业人士吗？订阅我们的新闻通讯
注册techradar Pro新闻通讯，以获取您的业务成功所需的所有首选，意见，功能和指导！取得成功！请与我联系我们的其他未来品牌的新闻，并代表我们值得信赖的合作伙伴或Sponsorsby提交您的信息，您同意您同意的条款和隐私政策，并年龄在16岁或超过16岁之间。
在不同的存储库中，PYPI，GITHUB和NPM是最常见的目标。
例如，PYPI多次被迫暂停新帐户和新项目创建，以防止黑客上传大量恶意软件包。另一方面，Github在今年2月下旬看到黑客上传了“数百万个能够窃取敏感信息和信息饼干的存储库”。
通过thehackernews
Techradar Pro的更多信息
Github受到攻击＆mdash;数以百万计的恶意云存储库轰炸网站，当今这些最佳防火墙是目前最好的端点安全工具的列表
