- Befällt NPM-Pakete und greift Zugangsdaten ab
- Nutzt Github Workflows
1 Like
Hier muss ich dich enttäuschen:
NPM hat relativ wenig mit java zu tun (so in etwa 0%) 
Die wikipedia hat gute artikel über javascript (in wirklichkeit typescript) und NPM
Aus dem Kontext raus interpretiere ich NPM als Paktmanager. Ist das richtig? Bin ich als (ahnungslosen) “Staple” Nutzer sicher vor sowas?
ansichtssache. ein paket-manager der java-skripts installiert ist für mich java-gedöns. aber das ist meine meinung die nicht repräsentativ ist.
Nun, wenn du dir die mühe gemacht hättest dem link zur wikipedia zu folgen, hättest du erfahren, dass javascript keine java-scripts sind.
Nicht alles was ähnlich heißt, hat auch einen gemeinsamen Ursprung. Der Urknall hat ja auch wenig mit der Uhr zu tun 
Was heute javascript genannt wird, hieß ursprünglich typescript, und wurde nur aus Marketinggründen zu javascript umbenannt. Es ist aber grundverschieden von java.
Man kann dazulernen, oder bei seiner Ansicht bleiben
(Auch wenn sie faktisch falsch ist)
Aber hatten wir die selbe Diskussion nicht schon mal
2 Likes
ob das jetzt eine erweiterung von javascript ist ist mir egal. für mich gehört das allumfassend zu dem was ich java-gedöns nenne und da muss ich mich auch nicht weiter dran reiben.
Ich will jetzt keine parellelen zu einem gallisch Dorf ziehen…
Ahnungslos heißt: ich kann aus der Hüfte heraus nicht sagen welche Pakete im Pamac GUI jetzt javascript sind; habe aber Staple drin. Ich müsste ja solche Updates verzögert bekommen.
Habe bei Pamac GUI auch Flathubs aktiviert.
Sollte ich aufmerksam oder sehr aufmerksam sein?
infiziert werden ja pakete/bibliotheken die mittels npm installiert werden und das ist offensichtlich ein kampf gegen windmühlen wie der artikel ja beschreibt. aktuell sind 27000 zugangsdaten auf github “gekapert” und es werden immer mehr. was da an schadsoftware unterwegs ist lässt sich kaum abschätzen aber es ist sehr viel.
Hab nochmal eine Frage.
Habe zur Übung mal geschaut welche typischen Dateien befallen werden können; wie viele wissen bin ich mehr Unwissender wie Programmierer.
Gesucht habe ich nach:
bun
sudo find / -type f -name "bun" 2>/dev/null | grep -v "/usr/bin"
setup_bun.js
find / -type f -name "setup_bun.js" 2>/dev/null
bun_environment.js
find / -type f -name "bun_environment.js" 2>/dev/null
Zuletzt
bundle.js
find / -type f -name "bundle.js" 2>/dev/null
/opt/vivaldi/resources/vivaldi/bundle.js
Blindes Huhn findet Korn.
Weiß jemand ob das soweit normal ist dass in Vivaldi ein “java-gedöns” ist, bzw. ob was gemacht werden muss?
Macht das da unten Sinn was ich gefunden habe?
Shai Hulud detecor von Github
zumindest solltest du in entsprechenden foren (vivaldi) mal nachhaken. bundle.js wird ja als potentiell infizierte komponente gelistet.
und statt weniger werden es immer mehr accounts und pakete die infiziert werden. waren es letzte woche noch ca. 27000 sind es jetzt schon ca. 30000 obwohl das problem bekannt ist. schon hart das erst ab dem 9.Dezember durchgegriffen werden soll. bis dahin wird es wohl eher noch schlimmer.