Sicherheitsforscher haben nach eigenen Angaben den ersten Angriff auf die Open-Source-Software-Lieferkette entdeckt, der speziell auf den Bankensektor abzielt. Das geht aus einem Bericht hervor, der vom Unternehmen Checkmarx am 21. Juli 2023 veröffentlicht wurde. Am 5. und 7. April nutzte ein Bedrohungsakteur die NPM-Plattform, um einige Pakete hochzuladen, die ein vorinstalliertes Skript enthielten. Bei dessen Installation wurde der bösartige Code ausgeführt, der versuchte, einen Lieferkettenangriff auf Banken auszuführen. Details in obigem Bericht und im Artikel von The Hacker News.
Translate
Suchen
Blogs auf Borncity
Spenden und Sponsoren
Den Blog durch Spenden unterstützen.
Aus dem DNV-Netzwerk
- Smartphone-Sicherheit 2026: 442 Mrd. Euro Schäden durch KI-Angriffe News 25. Mai 2026
- Wispr Flow: Action Button ermöglicht blitzschnelle Sprachaufnahme News 25. Mai 2026
- Gujarat startet WhatsApp-Verwaltung: 20 Services ab Mai 2026 News 25. Mai 2026
- Datenschutz: BGH spricht 500 Euro Schadensersatz für SCHUFA-Fehler News 25. Mai 2026
- Google I/O 19. Mai: Voice-First-Workflows revolutionieren Büroalltag News 25. Mai 2026
Links
Amazon
Awards
MVP: 2013 – 2016
WIMVP: 2017 – 20202015
Blogroll
Soziale Netzwerke-Seiten
Foren
Um mir den Moderationsaufwand zu ersparen, empfehle ich eines der unter Websites verlinkten Angebote. Im Microsoft Answers-Forum bin ich gelegentlich noch als Moderator zu Windows-Themen unterwegs.
Neueste Kommentare
- Luzifer zu Zoff und Schwarze-Peter-Spiel zwischen 'Microslop' und Chaotic Eclipse
- Luzifer zu Steuersaison 2026: Cyberkriminelle bereiten Angriffe Monate im Voraus vor
- noway zu Agentische KI: Die Bombe, die jederzeit hoch gehen kann
- Luzifer zu Steuersaison 2026: Cyberkriminelle bereiten Angriffe Monate im Voraus vor
- Hans van Aken zu Zoff und Schwarze-Peter-Spiel zwischen 'Microslop' und Chaotic Eclipse
- noway zu Agentische KI: Die Bombe, die jederzeit hoch gehen kann
- Bernd Bachmann zu Agentische KI: Die Bombe, die jederzeit hoch gehen kann
- Bernd Bachmann zu Agentische KI: Die Bombe, die jederzeit hoch gehen kann
- Nomenescio zu Cybervorfall bei Portraitbox GmbH (Online-Fotogalerie)
- Sansor zu Agentische KI: Die Bombe, die jederzeit hoch gehen kann
- Sansor zu Zoff und Schwarze-Peter-Spiel zwischen 'Microslop' und Chaotic Eclipse
- Froschkönig zu Agentische KI: Die Bombe, die jederzeit hoch gehen kann
- Steter Tropfen zu Agentische KI: Die Bombe, die jederzeit hoch gehen kann
- Bernd Bachmann zu Steuersaison 2026: Cyberkriminelle bereiten Angriffe Monate im Voraus vor
- C.Waldt zu Zoff und Schwarze-Peter-Spiel zwischen 'Microslop' und Chaotic Eclipse
Supply-Chain-Attacken über NPM sind ein echtes Problem. Aber NPM ist nicht alleine das Problem, es gibt noch jede Menge andere Software, die zu Laufzeit Sachen aus dem Internet nachlädt, z.B. Python, Powershell (aus der Powershell-Gallery), oder man nehme die ganzen Linux-Distributionen, welche mehr und mehr Software über Snap und Co beziehen. Oder man denke an verseuchte Software aus dem Google-Play-Store oder verseuchte Addons in den Browser-Addon-Stores. So ist der kontrollierte Softwareeinsatz kaum umsetzbar, man kann eigentlich nur den ganzen Mist im Proxy sperren und sich damit bei den Anwendern, die auch nur ihren Job machen wollen, unbeliebt machen (womit wir wieder beim Sysadmin-Day wären).
Jupp.
Es "sollte" eigentlich "selbstverständlich" sein, dass Software die in kritischen und sicherheitsrelevanten Bereichen eingesetzt ist, ausschließlich lokal läuft und nicht irgenetwas beliebig nachladen kann oder sogar nachladen muss, was nicht aus einer authentifizierten und sicheren Quelle stammt. Des Weiteren setzt man auch nur Software ein, für dessen Einrichtung jemand auch bereit ist durch Support bedingt seinen Kopf hinzuhalten.
Mittlerweile zucke ich nicht mal mehr mit dem Kopf, wenn irgendwo irgendwas passiert ist, weil dieser grundsätzliche Gedanke nicht eingehalten wurde.
Seine Software selbst minimalistisch zu erstellen ist eine echte Alternative zum Reinziehen von hunderten Pakten von NPM deren Abhängigkeiten niemand mehr überblicken. Das Einsperren der User ist eine Variante, welche das Prinzip des Personal Computers konterkariert und ist daher abzulehnen. Ja, die Welt ist voller Gefahren und wenn man den Angreifern mit Microsoft Cloud und AD noch den roten Teppich ausrollt, wird es wirklich ernst.