Phishing a mantenedor de paquete populares permite robo de credenciales a 4 millones de desarroll...

Se ha documentado el incidente CVE-2024-YIKES, una ataque a la cadena de suministro de software que afectó a aproximadamente 4 millones de desarrolladores. El ataque comenzó cuando el mantenedor del paquete left-justify (847 millones de descargas semanales) robó sus credenciales via phishing. El paquete fue actualizado para robarlas credenciales de desarrolladores, incluyendo las del mantenedor de vulpine-lz4, una biblioteca Rust. Esta biblioteca fue incluido en snekpack, una herramienta de build de Python usada por el 60% de los paquetes de PyPI con la palabra 'data'. El malware instaló una reverse shell que solo se activaba los martes. El incidente fue resuelto accidentalmente por un gusano de minería de criptomonedas llamado cryptobble-9000, que actualizó snekpack a una versión segura. Duración total: 73 horas. Tres meses después, se asignó formalmente el CVE.