Łańcuch Dostaw

W wyniku ataku na łańcuch dostaw oprogramowania, znanego jako easy-day-js, skompromitowano 144 pakiety npm z przestrzeni nazw Mastra, popularnego frameworka AI. Atak polegał na masowym publikowaniu złośliwych pakietów z jednego konta, które udawały czystą bibliotekę “dayjs”, ale w rzeczywistości zawierały trojana kradnącego kryptowaluty i inne wrażliwe dane, wykorzystując automatyzację i techniki maskowania, aby wymazać ślady.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Uczestnicy debaty PAP Biznes dyskutowali o wdrażaniu koncepcji ’local content’ w Polsce, która stanowi priorytet rządu i wymaga długofalowej pracy, dialogu oraz zmiany mentalności. Podkreślono potrzebę dostosowania przepisów, szczególnie w zamówieniach publicznych, aby wspierać rodzime firmy bez naruszania prawa unijnego i burzenia konkurencji, jednocześnie budując odporną i bezpieczną polską gospodarkę. Wskazano na kluczowe znaczenie monitorowania wpływu polskich firm na gospodarkę oraz potrzebę precyzyjniejszego definiowania kryteriów “local content”, uwzględniających nie tylko oferentów, ale również producentów i pochodzenie technologii.

Źródło: Polska Agencja Prasowa
Kategoria: Biznes
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Tygodniowy biuletyn zagrożeń z The Hackers News donosi o szerokim spektrum incydentów cyberbezpieczeństwa, w tym o wycieku kodu robaka Miasma, phishingu agentów AI prowadzącym do ujawnienia poufnych danych oraz o skutecznych atakach na łańcuchy dostaw. Artykuł opisuje również nowe metody kradzieży danych, zagrożenia dla usług chmurowych i narzędzi wykorzystywanych przez cyberprzestępców, podkreślając rosnącą rolę usług MaaS (Malware-as-a-Service) i problematyczną ufność systemów wobec niezweryfikowanych tożsamości.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

GitHub wprowadza istotne zmiany w wersji 12 narzędzia npm, które domyślnie wyłączą wykonywanie skryptów instalacyjnych (preinstall, install, postinstall) dla zależności, aby przeciwdziałać zagrożeniom w łańcuchu dostaw oprogramowania. Celem jest zablokowanie możliwości uruchamiania złośliwego kodu za pośrednictwem mechanizmu hooków cyklu życia npm, wymagając od użytkowników jawnej zgody na uruchomienie skryptów, co znacząco zwiększy bezpieczeństwo projektów Node.js.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Microsoft wprowadza w Visual Studio Code dwugodzinne opóźnienie automatycznych aktualizacji rozszerzeń, aby zwiększyć bezpieczeństwo przed zagrożeniami w łańcuchu dostaw oprogramowania; funkcja ta, wprowadzona w wersji 1.123, nie dotyczy rozszerzeń od zaufanych wydawców i pozwala użytkownikom na natychmiastową aktualizację ręczną, wpisując się w szerszy trend wzmacniania zabezpieczeń pakietów oprogramowania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Ekosystem npm stał się celem zaawansowanych ataków łańcucha dostaw, w których wykorzystano ponad 50 skompromitowanych pakietów do dystrybucji złośliwego oprogramowania: kradnącego informacje stealer’a IronWorm oraz samoreplikującego się Miasma Worm. Ataki te wykorzystują luki w zabezpieczeniach, takie jak złośliwe hooki instalacyjne i manipulacje przepływem pracy GitHub Actions, w celu kradzieży danych deweloperów, sekretów infrastruktury i rozpowszechniania się dalej.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Artykuł analizuje produkcję “Trump phone” (T1 Phone), który oficjalnie miał być projektowany i produkowany w USA, ale rzeczywistość okazała się inna. Firma Trump Mobile, po zmianie pierwotnych deklaracji, twierdzi obecnie, że telefon jest “składany w USA”, jednak proces ten ogranicza się do finalnego montażu, podczas gdy większość komponentów pochodzi z zagranicy, głównie z Azji. Powodem trudności w produkcji telefonów w Stanach Zjednoczonych są brak infrastruktury, wysokie koszty pracy oraz brak dostępności specjalistycznych maszyn i wykwalifikowanej kadry, co sprawia, że realizacja pełnej produkcji krajowej jest przedsięwzięciem na lata, a nie miesiące.

Źródło: The Verge
Kategoria: Technologia
Ważność: ⭐⭐⭐ (3/10)

Kampania “Miasma” wykorzystująca taktyki “Mini Shai-Hulud” zainfekowała pakiety npm z rodziny @redhat-cloud-services, aby kraść dane uwierzytelniające i klucze prywatne z maszyn deweloperów, a następnie rozprzestrzeniać się jako worm. Złośliwe oprogramowanie analizuje cenne dane, w tym tokeny GitHub Actions, dane uwierzytelniające do chmury, klucze SSH oraz dane Git, wysyłając je na serwery atakujących i próbując dalej zatruwać łańcuch dostaw oprogramowania poprzez złośliwe commity w repozytoriach.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Konflikt na Bliskim Wschodzie i zamknięcie Cieśniny Ormuz wpływają na globalne łańcuchy dostaw leków, prowadząc do ich niedoborów i wzrostu kosztów transportu, co zagraża pacjentom np. z epilepsją, chorobami serca czy nowotworami, pogłębiając istniejące problemy z dostępnością i stwarzając ryzyko dla zdrowia publicznego. Braki leków są już problemem, a obecne napięcia globalne dodatkowo obciążają apteki i producentów, którzy borykają się z wyższymi cenami zakupu i stałymi stawkami refundacji ze strony NHS.

Źródło: Medscape
Kategoria: Medycyna
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Tydzień przyniósł liczne zagrożenia cybernetyczne, w tym wyciek danych z GitHub przez zainfekowane rozszerzenie VS Code, odkrycie 9-letniej luki w jądrze Linuksa, aktywne wykorzystanie luk w Microsoft Defender oraz krytyczne problemy w Drupal Core. Odnotowano także rozwój botnetów, ataków na routery oraz ewolucję technik phishingowych, a także wyzwania związane z bezpieczeństwem OAuth i wykorzystaniem AI w cyberatakach. Organizacje nadal zmagają się z zaległymi łatkami i nowymi zagrożeniami.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)