حمله زنجیره تأمین TeamPCP به npm و PyPI
جاوااسکریپتگروه هکری TeamPCP در ۱۱ مه ۲۰۲۶ یک حمله زنجیره تأمین گسترده علیه npm و PyPI ترتیب داد که پکیجهایی مثل @tanstack/react-router با ۱۲ میلیون دانلود هفتگی، @mistralai/mistralai، و guardrails-ai را آلوده کرد. بدافزار اعتبارنامههای CI/CD، توکنهای کلود، و کردنشالهای AWS/GCP/Azure را میدزدد و مثل یک کرم در اکوسیستم npm گسترش پیدا میکنه. یکی از خطرناکترین قابلیتهاش نصب یک سرویس پایدار روی سیستم توسعهدهندهست که در صورت لغو توکن GitHub، دستور rm -rf ~/ رو اجرا میکنه.
این محتوا بهصورت خودکار با استفاده از هوش مصنوعی تولید شده است. بررسی نهایی آن پیش از استفاده توصیه میشود و مسئولیت استفاده از آن بهعهده کاربر است. برای مطالعه متن اصلی خبر،اینجا را کلیک کنید
خلاصهٔ کاملتر
گروه هکری TeamPCP در ۱۱ مه ۲۰۲۶ یک حمله هماهنگ زنجیره تأمین (Supply Chain Attack) رو علیه اکوسیستمهای npm و PyPI اجرا کرد. پکیجهای آلودهشده شامل @tanstack/react-router (با تقریباً ۱۲ میلیون دانلود هفتگی)، پکیجهای @uipath، کلاینت رسمی @mistralai/mistralai، و پکیج پایتونی guardrails-ai میشه.
