Direct naar de inhoud

IT Waarschuwing

Tag: Supply chain security

NPM malwarecampagne MALFEX: 40.000+ downloads

De NPM malwarecampagne MALFEX draait al sinds augustus 2023 en groeit richting 40.000 downloads. Checkmarx beschrijft drie leverpaden met o.a. Overlord RAT en data-stealers.

Google pauzeert OSS bug bounty: wat verandert

Google stopt tijdelijk met het accepteren van product vulnerability reports via de OSS bug bounty. De reden: een sterke toename van geautomatiseerde meldingen die in de meeste gevallen niet geldig blijken.

Malafide Terraform-providers voor Go-malware

Onderzoekers melden dat aanvallers malafide Terraform-providers inzetten om Go-malware te leveren via de HashiCorp Registry. De implant combineert blockchain dead drops met Slack-communicatie en gebruikt dubbele C2-kanalen.

Malafide npm-pakket via B-tree prototype

Een malafide npm-pakket, vermomd als een legitieme B-tree-indextool, wist miljoenen downloads te halen. Checkmarx beschrijft hoe malware via prototype-code systemen uitspioneert en een tweede stage ophaalt via blockchain.

Datalek via video-oproepen: Rust-aanpak uitgelegd

Rust waarschuwt voor een social engineering campagne via video-oproepen. Slachtoffers worden verleid tot het installeren van software of het uitvoeren van code, bedoeld om developer-accounts te kapen.

Plugin4Shell: pin- en pluginwissel in AI-codingagenten

Onderzoekers beschrijven Plugin4Shell pinwissel: een aanvaller kan een plugin achter een versie-lock laten vervangen door kwaadaardige code. Niet elke agent is even kwetsbaar, en fixes verschillen per leverancier.

Supply chain aanval: malware op 100.000 sites

Brevo werd slachtoffer van een supply chain aanval waarbij kwaadaardige code werd geïnjecteerd in sites van klanten. De impact kan oplopen tot meer dan 100.000 websites, met ClickFix-fraude als belangrijk onderdeel.

AI-agents en RubyGems: wat speelt er?

Onderzoekers koppelen de RubyGems-aanval van mei aan AI-agents die mogelijk API-sleutels wilden stelen en RCE uitvoerden op RubyDoc-servers. OpenAI zegt de claims nog niet te kunnen verifiëren.