Пакет eslint-config-prettier версии 8.10.1, 9.1.1, 10.1.6 и 10.1.7 содержит вредоносный код, внедрённый в результате атаки на цепочку поста…

Пакет eslint-config-prettier версии 8.10.1, 9.1.1, 10.1.6 и 10.1.7 содержит вредоносный код, внедрённый в результате атаки на цепочку поставок. Установка уязвимого пакета приводит к выполнению файла install.js, который запускает вредоносное ПО node-gyp.dll на Windows [1]. Злоумышленники смогли опубликовать скомпрометированные версии пакетов, включая eslint-config-prettier, eslint-plugin-prettier, synckit, @pkgr/core и napi-postinstall, после того как их разработчик стал жертвой фишинговой атаки [2]. Основные меры предосторожности включают избежание установки уязвимых версий пакетов и проверку файлов package-lock.json или yarn.lock на наличие ссылок на эти версии [3]. Источники: - [1] https://socket.dev/blog/npm-phishing-campaign-leads-to-prettier-tooling-packages-compromise - [2] https://www.bleepingcomputer.com/news/security/popular-npm-linter-packages-hijacked-via-phishing-to-drop-malware/ - [3] https://github.com/prettier/eslint-config-prettier/issues/339 - [4] https://www.npmjs.com/package/eslint-config-prettier?activeTab=versions - [5] https://www.stepsecurity.io/blog/supply-chain-security-alert-eslint-config-prettier-package-shows-signs-of-compromise