🔵 عنوان مقاله
PyPI urges users to reset credentials after new phishing attacks (2 minute read)
🟢 خلاصه مقاله:
کاربران PyPI هدف حملات فیشینگ تازه‌ای قرار گرفته‌اند که به‌کمک دامنه‌های جعلی مانند pypi-mirror.org و پیش‌تر pypj.org خود را به‌جای PyPI جا می‌زنند. ایمیل‌ها با ادعای "account maintenance and security procedures" قربانی را به صفحه‌های ورود تقلبی هدایت می‌کنند تا اطلاعات ورود را سرقت کنند. مهاجمان سپس با این اطلاعات حساب‌های توسعه‌دهندگان را تصاحب کرده و با آلوده‌کردن نسخه‌های منتشرشده یا انتشار پکیج‌های جدید مخرب در PyPI، زنجیره تأمین نرم‌افزار را تهدید می‌کنند. Python Software Foundation توصیه کرده است رمزعبور و سایر اعتبارات (از جمله API tokens) را فوراً بازنشانی/گردش دهید، 2FA را فعال کنید، توکن‌های مشکوک را لغو کرده و تاریخچه انتشار پکیج‌ها را بررسی کنید. همچنین قبل از واردکردن اطلاعات، حتماً دامنه واقعی pypi.org را تأیید کرده و نسبت به ایمیل‌های ناخواسته با مضامین امنیت و نگهداری حساب محتاط باشید و موارد مشکوک را گزارش دهید.
#PyPI #Python #Phishing #Cybersecurity #OpenSourceSecurity #SoftwareSupplyChain #PSF #Infosec
🟣لینک مقاله:
https://www.bleepingcomputer.com/news/security/pypi-urges-users-to-reset-credentials-after-new-phishing-attacks/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
PyPI urges users to reset credentials after new phishing attacks (2 minute read)
🟢 خلاصه مقاله:
کاربران PyPI هدف حملات فیشینگ تازه‌ای قرار گرفته‌اند که به‌کمک دامنه‌های جعلی مانند pypi-mirror.org و پیش‌تر pypj.org خود را به‌جای PyPI جا می‌زنند. ایمیل‌ها با ادعای "account maintenance and security procedures" قربانی را به صفحه‌های ورود تقلبی هدایت می‌کنند تا اطلاعات ورود را سرقت کنند. مهاجمان سپس با این اطلاعات حساب‌های توسعه‌دهندگان را تصاحب کرده و با آلوده‌کردن نسخه‌های منتشرشده یا انتشار پکیج‌های جدید مخرب در PyPI، زنجیره تأمین نرم‌افزار را تهدید می‌کنند. Python Software Foundation توصیه کرده است رمزعبور و سایر اعتبارات (از جمله API tokens) را فوراً بازنشانی/گردش دهید، 2FA را فعال کنید، توکن‌های مشکوک را لغو کرده و تاریخچه انتشار پکیج‌ها را بررسی کنید. همچنین قبل از واردکردن اطلاعات، حتماً دامنه واقعی pypi.org را تأیید کرده و نسبت به ایمیل‌های ناخواسته با مضامین امنیت و نگهداری حساب محتاط باشید و موارد مشکوک را گزارش دهید.
#PyPI #Python #Phishing #Cybersecurity #OpenSourceSecurity #SoftwareSupplyChain #PSF #Infosec
🟣لینک مقاله:
https://www.bleepingcomputer.com/news/security/pypi-urges-users-to-reset-credentials-after-new-phishing-attacks/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
BleepingComputer
PyPI urges users to reset credentials after new phishing attacks
The Python Software Foundation has warned victims of a new wave of phishing attacks using a fake Python Package Index (PyPI) website to reset credentials.
❤1
🔵 عنوان مقاله
Mitigating supply chain attacks (2 minute read)
🟢 خلاصه مقاله:
pnpm v10 برای کاهش ریسک حملات زنجیره تأمین دو تغییر مهم اعمال می‌کند: ۱) اجرای خودکار postinstall در وابستگی‌ها به‌صورت پیش‌فرض غیرفعال شده و فقط بسته‌هایی که واقعاً به اسکریپت‌های ساخت نیاز دارند با اجازه صریح (whitelist/allowlist) اجرا می‌شوند؛ ۲) تنظیم minimumReleaseAge نصب نسخه‌های تازه‌منتشرشده را برای مدتی به‌تعویق می‌اندازد تا قبل از نصب، زمان لازم برای شناسایی و گزارش بسته‌های مخرب فراهم شود. حاصل این رویکرد، کاهش اجرای ناخواسته کد و ایجاد یک حاشیه امن برای شناسایی تهدیدات است، با هزینه‌ای اندک در سرعت به‌روزرسانی. راهکار عملی برای تیم‌ها: مشخص‌کردن بسته‌هایی که واقعاً به اسکریپت نیاز دارند و allowlist کردن آن‌ها، و تنظیم حد انتظار مناسب برای minimumReleaseAge بر اساس سطح ریسک محیط توسعه و تولید.
#pnpm #SupplyChainSecurity #OpenSourceSecurity #JavaScript #NodeJS #DevSecOps #PackageManagers #SoftwareSupplyChain
🟣لینک مقاله:
https://pnpm.io/supply-chain-security?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Mitigating supply chain attacks (2 minute read)
🟢 خلاصه مقاله:
pnpm v10 برای کاهش ریسک حملات زنجیره تأمین دو تغییر مهم اعمال می‌کند: ۱) اجرای خودکار postinstall در وابستگی‌ها به‌صورت پیش‌فرض غیرفعال شده و فقط بسته‌هایی که واقعاً به اسکریپت‌های ساخت نیاز دارند با اجازه صریح (whitelist/allowlist) اجرا می‌شوند؛ ۲) تنظیم minimumReleaseAge نصب نسخه‌های تازه‌منتشرشده را برای مدتی به‌تعویق می‌اندازد تا قبل از نصب، زمان لازم برای شناسایی و گزارش بسته‌های مخرب فراهم شود. حاصل این رویکرد، کاهش اجرای ناخواسته کد و ایجاد یک حاشیه امن برای شناسایی تهدیدات است، با هزینه‌ای اندک در سرعت به‌روزرسانی. راهکار عملی برای تیم‌ها: مشخص‌کردن بسته‌هایی که واقعاً به اسکریپت نیاز دارند و allowlist کردن آن‌ها، و تنظیم حد انتظار مناسب برای minimumReleaseAge بر اساس سطح ریسک محیط توسعه و تولید.
#pnpm #SupplyChainSecurity #OpenSourceSecurity #JavaScript #NodeJS #DevSecOps #PackageManagers #SoftwareSupplyChain
🟣لینک مقاله:
https://pnpm.io/supply-chain-security?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
pnpm.io
Mitigating supply chain attacks | pnpm
Sometimes npm packages are compromised and published with malware. Luckily, there are companies like [Socket], [Snyk], and [Aikido] that detect these compromised packages early. The npm registry usually removes the affected versions within hours. However…
🔵 عنوان مقاله
Malicious Rust Packages on Crates.io Steal Crypto Wallet Keys (2 minute read)
🟢 خلاصه مقاله:
پژوهشگران Socket دو بسته مخرب Rust را در crates.io شناسایی کردند که با جا زدن خود به‌جای fast_log، علاوه بر عملکرد عادی، کدی برای اسکن محیط و فایل‌های پروژه داشتند تا رشته‌های Hex شبیه کلید خصوصی Ethereum، رشته‌های Base58 شبیه کلیدهای Solana و آرایه‌های بایت براکت‌دار را پیدا کرده و آن‌ها را به سرور مهاجم ارسال کنند. این یک حمله supply-chain است که می‌تواند به افشای کلیدها و سرقت دارایی‌ها منجر شود. به توسعه‌دهندگان توصیه می‌شود بسته‌های مشکوک را حذف، کلیدهای Ethereum و Solana را تعویض، تاریخچه مخزن را برای افشای تصادفی اسرار بررسی، وابستگی‌ها را pin کنند و از ابزارهای امنیتی مانند cargo-audit، cargo-vet و اسکن رازها در کنار کمینه‌سازی دسترسی اسرار در CI استفاده کنند.
#Rust #cratesio #SupplyChain #CryptoSecurity #Ethereum #Solana #OpenSourceSecurity #Malware
🟣لینک مقاله:
https://www.bleepingcomputer.com/news/security/malicious-rust-packages-on-cratesio-steal-crypto-wallet-keys/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Malicious Rust Packages on Crates.io Steal Crypto Wallet Keys (2 minute read)
🟢 خلاصه مقاله:
پژوهشگران Socket دو بسته مخرب Rust را در crates.io شناسایی کردند که با جا زدن خود به‌جای fast_log، علاوه بر عملکرد عادی، کدی برای اسکن محیط و فایل‌های پروژه داشتند تا رشته‌های Hex شبیه کلید خصوصی Ethereum، رشته‌های Base58 شبیه کلیدهای Solana و آرایه‌های بایت براکت‌دار را پیدا کرده و آن‌ها را به سرور مهاجم ارسال کنند. این یک حمله supply-chain است که می‌تواند به افشای کلیدها و سرقت دارایی‌ها منجر شود. به توسعه‌دهندگان توصیه می‌شود بسته‌های مشکوک را حذف، کلیدهای Ethereum و Solana را تعویض، تاریخچه مخزن را برای افشای تصادفی اسرار بررسی، وابستگی‌ها را pin کنند و از ابزارهای امنیتی مانند cargo-audit، cargo-vet و اسکن رازها در کنار کمینه‌سازی دسترسی اسرار در CI استفاده کنند.
#Rust #cratesio #SupplyChain #CryptoSecurity #Ethereum #Solana #OpenSourceSecurity #Malware
🟣لینک مقاله:
https://www.bleepingcomputer.com/news/security/malicious-rust-packages-on-cratesio-steal-crypto-wallet-keys/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
BleepingComputer
Malicious Rust packages on Crates.io steal crypto wallet keys
Two malicious packages with nearly 8,500 downloads in Rust's official crate repository scanned developers' systems to steal cryptocurrency private keys and other secrets.