‏حمله زنجیره تأمین به پکیج node-ipc برای سرقت اطلاعات

پکیج node-ipc یک ماژول Node.js هست که ارتباط بین پروسس‌ها (IPC) رو از طریق انواع سوکت‌ها مثل Unix، TCP، TLS و UDP فراهم می‌کنه. این پکیج با بیش از ۶۹۰ هزار دانلود هفتگی، یکی از پرکاربردترین‌های اکوسیستم npm به حساب میاد. اخیراً چندین شرکت امنیتی از جمله Socket، Ox Security و Upwind یک حمله زنجیره تأمین (supply chain attack) رو شناسایی کردن که سه نسخه از این پکیج رو آلوده کرده.

نسخه‌های مخرب شناسایی‌شده عبارتند از 9.1.6، 9.2.3 و 12.0.1. به نظر می‌رسه مهاجمان از طریق به خطر انداختن حساب یک نگهدارنده غیرفعال به نام «atiertant» به پکیج دسترسی پیدا کردن. کد مخرب داخل فایل node-ipc.cjs (نقطه ورود CommonJS) پنهان شده و به محض لود شدن اپلیکیشن، بدون هیچ اقدام اضافه‌ای اجرا می‌شه.