forum.opennet.ru - "В репозитории NPM выявлены четыре пакета, пересылающие данные о пользователе" (56)

"В репозитории NPM выявлены четыре пакета, пересылающие данные о пользователе"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"В репозитории NPM выявлены четыре пакета, пересылающие данные о пользователе"	+/–
Сообщение от opennews (?), 05-Окт-20, 21:06
В репозитории NPM выявлена вредоносная активность в четырёх пакетах, включающих preinstall-скрипт, который перед установкой пакета отправлял на GitHub комментарий с информацией об IP-адресе, местоположении, логине, модели CPU и домашнем каталоге пользователя. Вредоносный код был найден в пакетах electorn (255 загрузок), lodashs (78 загрузок), loadyaml (48 загрузок) и loadyml (37 загрузок)... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=53836
Ответить \| Правка \| Cообщить модератору

Оглавление

А я вам говорил , дедушка старый (?), 21:06 , 05-Окт-20, (1) +17

https www opennet ru openforum vsluhforumID3 122007 html 118, Аноним (38), 08:12 , 06-Окт-20, (38) –1

Четыре Четыре штуки Не четыре тысячи Тю, всего-то Я пользуюсь Андроид телефо, A.Stahl (ok), 21:10 , 05-Окт-20, (2) +23

Интересно, как это ты запускаешь на Андроеде виндовые ехешники , Аноним (15), 23:09 , 05-Окт-20, (15) –4

Я не запускаю на Андроиде виндовые ехешники , A.Stahl (ok), 23:23 , 05-Окт-20, (19) +3
У него там , он делает и это и то и возможно другие противозаконные действия , Аноним (52), 21:36 , 06-Окт-20, (52) +2

Скоро в метро будешь оплачивать проход рожей , слива (?), 13:34 , 06-Окт-20, (47)

В метро могут и паспорт попросить, а если нет, то IMEI от телефона обожают мент, Денис (??), 15:17 , 06-Окт-20, (51)

Паспорт уже не интересен биометрия пошла в полный рост , Аноним (52), 21:37 , 06-Окт-20, (53) +1
Проверка imei вообще законна , Дерьмократ (?), 16:21 , 07-Окт-20, (57)

Выявлены четыре позорных пакета, которые пересылают данные ТОЛЬКО О ПОЛЬЗОВАТЕЛЕ, Аноним (3), 21:19 , 05-Окт-20, (3) +23

Таки да Главное, придумать мало-мальски правдоподобный повод Типа нам нужно з, gogo (?), 04:23 , 06-Окт-20, (23) +1

Meh По-моему, кроме того факапа с leftpad, никто так ни разу и не смог распроср, Ананимус (?), 21:26 , 05-Окт-20, (7) –1

https www trendmicro com vinfo nz security news cybercrime-and-digital-threats, имя_ (?), 21:48 , 05-Окт-20, (11) +1

Ну там с дюжину подобных историй есть Импакт-то какой , Ананимус (?), 22:03 , 05-Окт-20, (12) –6

Ты настаиваешь, что не нужно креститься, если гром гремит не очень сильно , gogo (?), 04:25 , 06-Окт-20, (24) +3

Я хочу сказать, что если security team успевает чинить подобные проблемы раньше,, Ананимус (?), 17:13 , 07-Окт-20, (58) –1

хреносимы с ногосракой тоже только две было, у тебя явно не было курса логики в , Аноним (38), 08:14 , 06-Окт-20, (40) +2

Не вижу аналогичных происшествий с npm Все случившееся на уровне баба срака сл, Ананимус (?), 17:29 , 07-Окт-20, (59)

в лесу выявлены четыре дерева, Аноним (9), 21:35 , 05-Окт-20, (9) +24

this, онанимуз (?), 21:42 , 05-Окт-20, (10) +1
Это всё, что нужно знать об экосистеме JS , Аноним (15), 23:10 , 05-Окт-20, (16) +1

NPM как-то в корне отличается от PyPI, RubyGems, CPAN etc , bergentroll (ok), 05:44 , 06-Окт-20, (30) +2

контингентом, Аноним (54), 23:29 , 06-Окт-20, (54) –1
Nuget crates и все что с java связано так же внушают куда больше доверия, коржик (?), 07:36 , 07-Окт-20, (55)

эм всего четыре четыри сотни или 4 тысячи , darkshvein (ok), 22:41 , 05-Окт-20, (13) –3
В стоге игл нашли иголки следующая новость в толпе людей нашли человека а у, Аноним (14), 23:01 , 05-Окт-20, (14)
Забавно Когда аноним опеннета не согласен с комментом, он отвечает на этот комм, Ordu (ok), 23:15 , 05-Окт-20, (17) +1

В одном случае пытается закидать, во втором 8212 раздуть , bergentroll (ok), 05:45 , 06-Окт-20, (31) –1
Поэтому это называется комментарии, а не всякие тупые модные новые слова, КО (?), 06:36 , 06-Окт-20, (32) –3
Все упражняетесь в психологии , Денис (??), 07:53 , 06-Окт-20, (35) –1

Нет, просто наблюдаю , Ordu (ok), 08:30 , 06-Окт-20, (41)

Хруст решит эту проблему, усложненная реверсинженерия сделает невозможным для по, Аноним (-), 23:19 , 05-Окт-20, (18) –1

Естествнно А чего ещё ожидать от поделки придуманной неудачниками вендузятникам, Аноним (21), 23:28 , 05-Окт-20, (21) +1

Кто бы сомневался , Аноним (21), 23:27 , 05-Окт-20, (20) +2
Главное что выявили Значит какой то контроль осуществляется И в последующим бу, MintUser (?), 04:08 , 06-Окт-20, (22) –1

Контроль на полном ручном управлении гнилью , Аноним (37), 08:10 , 06-Окт-20, (37) +1

В смысле Название каталога, список файлов или все содержимое Еще одна причина , Денис (??), 04:40 , 06-Окт-20, (25) –4

btc waller и HOME ssh , Google (?), 04:53 , 06-Окт-20, (27)
Чем тебе это поможет от запуска агента reverse NAT shell , Google (?), 04:54 , 06-Окт-20, (28)

docker run yarn npm, Google (?), 04:52 , 06-Окт-20, (26)
https github com evilsocket opensnitch, Аноним (37), 04:55 , 06-Окт-20, (29)
И вот опять Дуршлаг Весь NPM можно переименовать в Дуршлаг , zurapa (ok), 07:22 , 06-Окт-20, (33) –2

Эта проблема касается любых пакетных менеджеров, которые могут выполнять скрипты, Аноним (34), 07:38 , 06-Окт-20, (34) +1

https deno land https github com denoland deno , Аноним (37), 08:00 , 06-Окт-20, (36) –1

Просто надо 171 внезапно 187 внимательно смотреть, что на клавиатуре набирае, Lex (??), 08:13 , 06-Окт-20, (39) –1

О чём вы Эти ребята действительно считают, что говнорепозитарии сами за них всё, Онаним (?), 09:26 , 06-Окт-20, (42) +2

Это же старый код Это вчера он был отличным решением и бибикал, а сегодня он уж, Аноним (46), 11:13 , 06-Окт-20, (46) +1

npm, cpan, composer-based и прочее, в целом Все говнорепы зло, если у тебя серь, Онаним (?), 09:28 , 06-Окт-20, (43)

Нет, допустим можно отдать конфиг композера вместе с проектом и пользоваться ком, Онаним (?), 09:29 , 06-Окт-20, (44)

Мне вот интересно для js же запилили суперкрутые песочницы в браузерах Потом вз, Q2W (?), 09:49 , 06-Окт-20, (45)

Там не совсем браузерную реализацию перенесли Соль ноды в том, что она поддержив, Lex (??), 13:51 , 06-Окт-20, (48) +1

Вот с уровнями знания ПК , а если точнее - с умением администрировать системы, , Онаним (?), 15:06 , 06-Окт-20, (49)

Даже придумали модель каждый девелопер администратор и инфраструктура тоже ко, Онаним (?), 15:07 , 06-Окт-20, (50) +1

Работает она вполне нормально, если хотя бы через раз смотреть какой пакет устан, Lex (??), 15:22 , 08-Окт-20, (60)

Скрыто модератором, Аноним (-), 16:05 , 07-Окт-20, (56)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от дедушка старый (?), 05-Окт-20, 21:06 +17 +/–

А я вам говорил!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #38

2. Сообщение от A.Stahl (ok), 05-Окт-20, 21:10 +23 +/–

Четыре? Четыре штуки? Не четыре тысячи? Тю, всего-то. Я пользуюсь Андроид телефоном, запускаю виндовые бинарные блобы без всяких песочниц и мои данные светятся во всяких гос.службах от ЖЕКа до налоговой. Пфф, испугали тоже мне... Четыре пакета. Вы ещё скажите что в четырёх километрах от столицы обнаружили контейнер с четырьмя атомами радиоактивного вещества.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #15, #47

3. Сообщение от Аноним (3), 05-Окт-20, 21:19 +23 +/–

Выявлены четыре позорных пакета, которые пересылают данные ТОЛЬКО О ПОЛЬЗОВАТЕЛЕ. Все остальыне пересылают всё, к чему имеют доступ!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #23

7. Сообщение от Ананимус (?), 05-Окт-20, 21:26 –1 +/–

Meh. По-моему, кроме того факапа с leftpad, никто так ни разу и не смог распросранить свой зловред через пакетные репозитории с какими-то действительно серьезными последствиями.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #11

9. Сообщение от Аноним (9), 05-Окт-20, 21:35 +24 +/–

в лесу выявлены четыре дерева

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10, #16

10. Сообщение от онанимуз (?), 05-Окт-20, 21:42 +1 +/–

this

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

11. Сообщение от имя_ (?), 05-Окт-20, 21:48 +1 +/–

https://www.trendmicro.com/vinfo/nz/security/news/cybercrime... хотя бы

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #12

12. Сообщение от Ананимус (?), 05-Окт-20, 22:03 –6 +/–

Ну там с дюжину подобных историй есть. Импакт-то какой?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #24, #40

13. Сообщение от darkshvein (ok), 05-Окт-20, 22:41 –3 +/–

эм. всего четыре? четыри сотни или 4 тысячи?

Ответить | Правка | Наверх | Cообщить модератору

14. Сообщение от Аноним (14), 05-Окт-20, 23:01 +/–

В стоге игл нашли иголки.... следующая новость в толпе людей нашли человека а у человека нашли две руки две ноги

Ответить | Правка | Наверх | Cообщить модератору

15. Сообщение от Аноним (15), 05-Окт-20, 23:09 –4 +/–

Интересно, как это ты запускаешь на Андроеде виндовые ехешники?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #19, #52

16. Сообщение от Аноним (15), 05-Окт-20, 23:10 +1 +/–

Это всё, что нужно знать об экосистеме JS.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #30

17. Сообщение от Ordu (ok), 05-Окт-20, 23:15 +1 +/–

Забавно. Когда аноним опеннета не согласен с комментом, он отвечает на этот коммент и возникает тред. Когда аноним опеннета согласен с комментом, он создаёт новый тред, пытаясь развить тему. Странно, почему так?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #31, #32, #35

18. Сообщение от Аноним (-), 05-Окт-20, 23:19 –1 +/–

Хруст решит эту проблему, усложненная реверсинженерия сделает невозможным для пользователя защитить себя.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #21

19. Сообщение от A.Stahl (ok), 05-Окт-20, 23:23 +3 +/–

Я не запускаю на Андроиде виндовые ехешники.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

20. Сообщение от Аноним (21), 05-Окт-20, 23:27 +2 +/–

Кто бы сомневался.

Ответить | Правка | Наверх | Cообщить модератору

21. Сообщение от Аноним (21), 05-Окт-20, 23:28 +1 +/–

Естествнно. А чего ещё ожидать от поделки придуманной неудачниками вендузятниками. Этож их вечная головная боль... ааааа библиотеку поставить, всё, караул, надо звать гуру и взывать к богам. Этож непосильная задача.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

22. Сообщение от MintUser (?), 06-Окт-20, 04:08 –1 +/–

Главное что выявили. Значит какой то контроль осуществляется. И в последующим будет усилен, предположительно.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #37

23. Сообщение от gogo (?), 06-Окт-20, 04:23 +1 +/–

Таки да. Главное, придумать мало-мальски правдоподобный повод. Типа "нам нужно знать разрешение экрана юзеров для какой-то там фичи"....

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

24. Сообщение от gogo (?), 06-Окт-20, 04:25 +3 +/–

Ты настаиваешь, что не нужно креститься, если гром гремит не очень сильно?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #58

25. Сообщение от Денис (??), 06-Окт-20, 04:40 –4 +/–

> домашнем каталоге пользователя
В смысле? Название каталога, список файлов или все содержимое? Еще одна причина ничего там не хранить, для этого есть отдельные разделы. Кто перешел с винды, у того так и есть. Разве что NTFS вместо ext4, но это поправимо.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27, #28

26. Сообщение от Google (?), 06-Окт-20, 04:52 +/–

docker run yarn/npm

Ответить | Правка | Наверх | Cообщить модератору

27. Сообщение от Google (?), 06-Окт-20, 04:53 +/–

btc waller и $HOME/.ssh*

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

28. Сообщение от Google (?), 06-Окт-20, 04:54 +/–

Чем тебе это поможет от запуска агента reverse NAT shell?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

29. Сообщение от Аноним (37), 06-Окт-20, 04:55 +/–

https://github.com/evilsocket/opensnitch

Ответить | Правка | Наверх | Cообщить модератору

30. Сообщение от bergentroll (ok), 06-Окт-20, 05:44 +2 +/–

NPM как-то в корне отличается от PyPI, RubyGems, CPAN etc?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #54, #55

31. Сообщение от bergentroll (ok), 06-Окт-20, 05:45 –1 +/–

В одном случае пытается закидать, во втором — раздуть.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

32. Сообщение от КО (?), 06-Окт-20, 06:36 –3 +/–

Поэтому это называется комментарии, а не всякие тупые модные новые слова

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

33. Сообщение от zurapa (ok), 06-Окт-20, 07:22 –2 +/–

И вот опять...
Дуршлаг. Весь NPM можно переименовать в Дуршлаг.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #34, #39, #43

34. Сообщение от Аноним (34), 06-Окт-20, 07:38 +1 +/–

Эта проблема касается любых пакетных менеджеров, которые могут выполнять скрипты. По идее их все нужно изолировать в песочнице

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #36

35. Сообщение от Денис (??), 06-Окт-20, 07:53 –1 +/–

> Странно, почему так?
Все упражняетесь в психологии?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #41

36. Сообщение от Аноним (37), 06-Окт-20, 08:00 –1 +/–

https://deno.land/ ( https://github.com/denoland/deno )

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

37. Сообщение от Аноним (37), 06-Окт-20, 08:10 +1 +/–

Контроль на полном ручном управлении гнилью.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

38. Сообщение от Аноним (38), 06-Окт-20, 08:12 –1 +/–

https://www.opennet.ru/openforum/vsluhforumID3/122007.html#118

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

39. Сообщение от Lex (??), 06-Окт-20, 08:13 –1 +/–

Просто надо «внезапно» внимательно смотреть, что на клавиатуре набираешь, когда речь о названиях модулей.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #42

40. Сообщение от Аноним (38), 06-Окт-20, 08:14 +2 +/–

хреносимы с ногосракой тоже только две было, у тебя явно не было курса логики в БГУИР с летающими котлетами

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #59

41. Сообщение от Ordu (ok), 06-Окт-20, 08:30 +/–

>> Странно, почему так?
> Все упражняетесь в психологии?
Нет, просто наблюдаю.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

42. Сообщение от Онаним (?), 06-Окт-20, 09:26 +2 +/–

О чём вы. Эти ребята действительно считают, что говнорепозитарии сами за них всё сделают. А уж про ревью зависимостей вообще речи нет. В итоге даже нормальные "честные" зависимости в этих говнорепах меняют API, и говнопроекты разлетаются в хлам.
Нормальные проекты синхронизируют определённые версии зависимостей и производят шаговое обновление с учётом изменений в таковых, гарантируя работоспособность результирующей системы. Кто из тянущих проект любит риск - обновляет их дальше и выступает в роли мейнтейнера bleeding edge кода уже сам. Кто не любит - сидит на стабильных версиях, которые дали мейнтейнеры проекта, и не дёргается.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #46

43. Сообщение от Онаним (?), 06-Окт-20, 09:28 +/–

npm, cpan, composer-based и прочее, в целом. Все говнорепы зло, если у тебя серьёзный проект - ты берёшь определённые релизные версии прямо с авторских репозитариев, и дальше либо обновляешь с ревью самостоятельно, либо бэкпортишь какие-то фиксы, и т.д.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #44

44. Сообщение от Онаним (?), 06-Окт-20, 09:29 +/–

Нет, допустим можно отдать конфиг композера вместе с проектом и пользоваться композером. Но в самом проекте должен идти код зависимостей, с которым проект однозначно работает.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43

45. Сообщение от Q2W (?), 06-Окт-20, 09:49 +/–

Мне вот интересно: для js же запилили суперкрутые песочницы в браузерах.
Потом взяли браузерную реализацию js и вынесли из браузера в nodejs.
Так песочницу чё с собой-то не взяли? Сейчас бы устанавливали себе эти модули где-то локально в песочнице каждой приложухи и всё. Безо всяких доступов куда не следует.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #48

46. Сообщение от Аноним (46), 06-Окт-20, 11:13 +1 +/–

Это же старый код! Это вчера он был отличным решением и бибикал, а сегодня он уже не тот! Бибикать надо по графику с сайта РЖД и на 2 тона ниже!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

47. Сообщение от слива (?), 06-Окт-20, 13:34 +/–

Скоро в метро будешь оплачивать проход рожей.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #51

48. Сообщение от Lex (??), 06-Окт-20, 13:51 +1 +/–

> Мне вот интересно: для js же запилили суперкрутые песочницы в браузерах.
> Потом взяли браузерную реализацию js и вынесли из браузера в nodejs.
Там не совсем браузерную реализацию перенесли.
Соль ноды в том, что она поддерживает в т.ч "нативные" модули, тогда как в случае с браузерами - только чистый JS и его подобия.
В данном случае даже не в ноде дело, а в менеджере пакетов.
Просто обычно ожидается, что разработчики хоть изредка, но будут смотреть на то, что пишут и их уровень знания ПК и проч ощутимо выше такового чем у какой-то бабки из деревни, которая только и умеет что новости в тырнете читать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #49

49. Сообщение от Онаним (?), 06-Окт-20, 15:06 +/–

Вот с "уровнями знания ПК", а если точнее - с умением администрировать системы, пакеты, модули - даже собственных разработок - там обычно полный швах.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #50

50. Сообщение от Онаним (?), 06-Окт-20, 15:07 +1 +/–

Даже придумали модель "каждый девелопер администратор" и "инфраструктура тоже код" - девляпс называется.
Но с учётом квалификации эта модель у них работает так, как и должна - через пень-колоду.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49 Ответы: #60

51. Сообщение от Денис (??), 06-Окт-20, 15:17 +/–

В метро могут и паспорт попросить, а если нет, то IMEI от телефона (обожают менты проверять).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47 Ответы: #53, #57

52. Сообщение от Аноним (52), 06-Окт-20, 21:36 +2 +/–

У него там "," он делает и это и то и возможно другие противозаконные действия.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

53. Сообщение от Аноним (52), 06-Окт-20, 21:37 +1 +/–

Паспорт уже не интересен биометрия пошла в полный рост.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

54. Сообщение от Аноним (54), 06-Окт-20, 23:29 –1 +/–

контингентом

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

55. Сообщение от коржик (?), 07-Окт-20, 07:36 +/–

Nuget crates и все что с java связано так же внушают куда больше доверия

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

56. Сообщение от Аноним (-), 07-Окт-20, 16:05 +/–

Молодцы! Оперативно прореагировали. У многих, у тех у кого чёрная душа, пердаки полопались.
Крякер! Не лезь в Свободное программное обеспечение! Тысяча глаз вам наваляют!

Ответить | Правка | Наверх | Cообщить модератору

57. Сообщение от Дерьмократ (?), 07-Окт-20, 16:21 +/–

> В метро могут и паспорт попросить, а если нет, то IMEI от
> телефона (обожают менты проверять).
Проверка imei вообще законна?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

58. Сообщение от Ананимус (?), 07-Окт-20, 17:13 –1 +/–

> Ты настаиваешь, что не нужно креститься, если гром гремит не очень сильно?
Я хочу сказать, что если security team успевает чинить подобные проблемы раньше, чем они нанесут какой-то существенный вред, значит модель в целом работает хорошо.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

59. Сообщение от Ананимус (?), 07-Окт-20, 17:29 +/–

> хреносимы с ногосракой тоже только две было, у тебя явно не было
> курса логики в БГУИР с летающими котлетами
Не вижу аналогичных происшествий с npm. Все случившееся на уровне "баба срака сломала себе копчик в попытках вытереть жопу".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

60. Сообщение от Lex (??), 08-Окт-20, 15:22 +/–

> Даже придумали модель "каждый девелопер администратор" и "инфраструктура тоже код" - девляпс
> называется.
> Но с учётом квалификации эта модель у них работает так, как и
> должна - через пень-колоду.
Работает она вполне нормально, если хотя бы через раз смотреть какой пакет устанавливается( т.е правильно ли набрано его название ).
И, в первую очередь, применять лишь хорошо известные и популярные модули с постоянным большим количеством скачиваний( т.е если скачиваний ок 20 / нед - это по-любому васяновский пакет с черти чем внутри ).. и, в цело, стремиться использовать пакетов столь мало, сколь это возможно.
А если не смотреть - так тут и достаточно и просто выхода в интернет с вводом адреса типа мой_любимый_банкК.ком и никакой ноды с энпиэмом не нужно )

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от дедушка старый (?), 05-Окт-20, 21:06	+17 +/–
А я вам говорил!
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #38

2. Сообщение от A.Stahl (ok), 05-Окт-20, 21:10	+23 +/–
Четыре? Четыре штуки? Не четыре тысячи? Тю, всего-то. Я пользуюсь Андроид телефоном, запускаю виндовые бинарные блобы без всяких песочниц и мои данные светятся во всяких гос.службах от ЖЕКа до налоговой. Пфф, испугали тоже мне... Четыре пакета. Вы ещё скажите что в четырёх километрах от столицы обнаружили контейнер с четырьмя атомами радиоактивного вещества.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #15, #47

3. Сообщение от Аноним (3), 05-Окт-20, 21:19	+23 +/–
Выявлены четыре позорных пакета, которые пересылают данные ТОЛЬКО О ПОЛЬЗОВАТЕЛЕ. Все остальыне пересылают всё, к чему имеют доступ!
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #23

7. Сообщение от Ананимус (?), 05-Окт-20, 21:26	–1 +/–
Meh. По-моему, кроме того факапа с leftpad, никто так ни разу и не смог распросранить свой зловред через пакетные репозитории с какими-то действительно серьезными последствиями.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #11

9. Сообщение от Аноним (9), 05-Окт-20, 21:35	+24 +/–
в лесу выявлены четыре дерева
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #10, #16

10. Сообщение от онанимуз (?), 05-Окт-20, 21:42	+1 +/–
this
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9

11. Сообщение от имя_ (?), 05-Окт-20, 21:48	+1 +/–
https://www.trendmicro.com/vinfo/nz/security/news/cybercrime... хотя бы
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #12

12. Сообщение от Ананимус (?), 05-Окт-20, 22:03	–6 +/–
Ну там с дюжину подобных историй есть. Импакт-то какой?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #11 Ответы: #24, #40

13. Сообщение от darkshvein (ok), 05-Окт-20, 22:41	–3 +/–
эм. всего четыре? четыри сотни или 4 тысячи?
Ответить \| Правка \| Наверх \| Cообщить модератору

14. Сообщение от Аноним (14), 05-Окт-20, 23:01	+/–
В стоге игл нашли иголки.... следующая новость в толпе людей нашли человека а у человека нашли две руки две ноги
Ответить \| Правка \| Наверх \| Cообщить модератору

15. Сообщение от Аноним (15), 05-Окт-20, 23:09	–4 +/–
Интересно, как это ты запускаешь на Андроеде виндовые ехешники?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #19, #52

16. Сообщение от Аноним (15), 05-Окт-20, 23:10	+1 +/–
Это всё, что нужно знать об экосистеме JS.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #30

17. Сообщение от Ordu (ok), 05-Окт-20, 23:15	+1 +/–
Забавно. Когда аноним опеннета не согласен с комментом, он отвечает на этот коммент и возникает тред. Когда аноним опеннета согласен с комментом, он создаёт новый тред, пытаясь развить тему. Странно, почему так?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #31, #32, #35

18. Сообщение от Аноним (-), 05-Окт-20, 23:19	–1 +/–
Хруст решит эту проблему, усложненная реверсинженерия сделает невозможным для пользователя защитить себя.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #21

19. Сообщение от A.Stahl (ok), 05-Окт-20, 23:23	+3 +/–
Я не запускаю на Андроиде виндовые ехешники.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #15

20. Сообщение от Аноним (21), 05-Окт-20, 23:27	+2 +/–
Кто бы сомневался.
Ответить \| Правка \| Наверх \| Cообщить модератору

21. Сообщение от Аноним (21), 05-Окт-20, 23:28	+1 +/–
Естествнно. А чего ещё ожидать от поделки придуманной неудачниками вендузятниками. Этож их вечная головная боль... ааааа библиотеку поставить, всё, караул, надо звать гуру и взывать к богам. Этож непосильная задача.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18

22. Сообщение от MintUser (?), 06-Окт-20, 04:08	–1 +/–
Главное что выявили. Значит какой то контроль осуществляется. И в последующим будет усилен, предположительно.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #37

23. Сообщение от gogo (?), 06-Окт-20, 04:23	+1 +/–
Таки да. Главное, придумать мало-мальски правдоподобный повод. Типа "нам нужно знать разрешение экрана юзеров для какой-то там фичи"....
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

24. Сообщение от gogo (?), 06-Окт-20, 04:25	+3 +/–
Ты настаиваешь, что не нужно креститься, если гром гремит не очень сильно?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #58

25. Сообщение от Денис (??), 06-Окт-20, 04:40	–4 +/–
> домашнем каталоге пользователя В смысле? Название каталога, список файлов или все содержимое? Еще одна причина ничего там не хранить, для этого есть отдельные разделы. Кто перешел с винды, у того так и есть. Разве что NTFS вместо ext4, но это поправимо.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #27, #28

26. Сообщение от Google (?), 06-Окт-20, 04:52	+/–
docker run yarn/npm
Ответить \| Правка \| Наверх \| Cообщить модератору

27. Сообщение от Google (?), 06-Окт-20, 04:53	+/–
btc waller и $HOME/.ssh*
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #25

28. Сообщение от Google (?), 06-Окт-20, 04:54	+/–
Чем тебе это поможет от запуска агента reverse NAT shell?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #25

29. Сообщение от Аноним (37), 06-Окт-20, 04:55	+/–
https://github.com/evilsocket/opensnitch
Ответить \| Правка \| Наверх \| Cообщить модератору

30. Сообщение от bergentroll (ok), 06-Окт-20, 05:44	+2 +/–
NPM как-то в корне отличается от PyPI, RubyGems, CPAN etc?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16 Ответы: #54, #55

31. Сообщение от bergentroll (ok), 06-Окт-20, 05:45	–1 +/–
В одном случае пытается закидать, во втором — раздуть.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17

32. Сообщение от КО (?), 06-Окт-20, 06:36	–3 +/–
Поэтому это называется комментарии, а не всякие тупые модные новые слова
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17

33. Сообщение от zurapa (ok), 06-Окт-20, 07:22	–2 +/–
И вот опять... Дуршлаг. Весь NPM можно переименовать в Дуршлаг.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #34, #39, #43

34. Сообщение от Аноним (34), 06-Окт-20, 07:38	+1 +/–
Эта проблема касается любых пакетных менеджеров, которые могут выполнять скрипты. По идее их все нужно изолировать в песочнице
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #33 Ответы: #36