forum.opennet.ru - "В репозитории NPM выявлен вредоносный пакет discord.dll " (84)

"В репозитории NPM выявлен вредоносный пакет discord.dll "

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"В репозитории NPM выявлен вредоносный пакет discord.dll "	+/–
Сообщение от opennews (??), 10-Ноя-20, 13:55
В репозитории NPM выявлен вредоносный пакет discord.dll, который оставался незамеченным 5 месяцев, но был загружен лишь около 100 раз. Пакет включал скрипт, активируемый после установки (postinstall) и передающий некоторые локальные файлы через webhook к мессенджеру Discord. Передавались файлы профиля пользователя и БД в формате leveldb из каталогов браузеров на базе движка Chromium (Chrome, Opera, Yandex Browser, Brave) и приложения Discord, а также информация о системе и IP-адресе жертвы. Метод передачи данных в discord.dll во многом напоминает вредоносный пакет fallguys, выявленный] в августе... Подробнее: https://www.opennet.me/opennews/art.shtml?num=54061
Ответить \| Правка \| Cообщить модератору

Оглавление

Под вайном работает И кстати, зачем это на опеннете Я конечно понимаю что тема, Аноним (2), 13:57 , 10-Ноя-20, (2) +5

Меня вычеркивайте Ни на одном из моих компьютеров нет винды , Какаянахренразница (ok), 14:24 , 10-Ноя-20, (10) +3

А тебе не впадлу с бедными общаться Шёл бы уж к своим , Аноним (24), 15:21 , 10-Ноя-20, (24) +5

Да он-то как раз среди своих в комментах сплошное троллоло и школоло И не убеж, Аноним (26), 15:32 , 10-Ноя-20, (26) +4
и пошла Василиса Прекраснаятуда,куда Василиса Премудрая не осмелилась бы , Michael Shigorin (ok), 15:49 , 10-Ноя-20, (33) –1

Ну зачем же вы так жестко опуск гм смущаете тех, у кого нет ни денег на Яб, jOKer (ok), 17:53 , 10-Ноя-20, (42) –4

Тебе надо - ты их и понимай Да и огрызок-то всего-лишь в 2 раза дороже А иногд, Аноним (2), 20:57 , 10-Ноя-20, (58) –2

И тебе поможем , Аноним (-), 02:26 , 11-Ноя-20, (61) –1
в моем случае раз в 10 дороже, Аноним (66), 09:00 , 11-Ноя-20, (66) –1

На малинке сидишь , Аноним (84), 19:12 , 12-Ноя-20, (84)

тематика опенсорса, поделки на ноде - тоже опенсорс, имя_ (?), 14:50 , 10-Ноя-20, (20) +1
Нет, требует vcredist 2019, Dzen Python (ok), 15:39 , 10-Ноя-20, (28) –1
А что, открытый свободный софт не может собираться и работать в проприетарщине , anonymous (??), 10:31 , 11-Ноя-20, (71)

Новость можно добавить в crontab, приписав в заголовок слово очередной , InuYasha (??), 13:58 , 10-Ноя-20, (3) +13

B crontab exe, Аноним (2), 14:00 , 10-Ноя-20, (5) +15

Фу В taskeng exeА созавать новость нужно исключительно через at, Dzen Python (ok), 15:37 , 10-Ноя-20, (27)

schtasks уже давно At- deprecated, user (??), 18:36 , 11-Ноя-20, (75)

schtasks команда не найдена, PnD (??), 11:08 , 12-Ноя-20, (81)

Мне непонятно, нафига вообще такие новости и кого они волнуют Ладно бы какой-ни, Аноним (79), 00:35 , 12-Ноя-20, (79) +1

npm это зло , Аноним (6), 14:01 , 10-Ноя-20, (6) –1

Технология не есть зло Софт, овеществливающий технологию не есть зло Сторонние , Dzen Python (ok), 15:48 , 10-Ноя-20, (32) +7

а правила грамматики, требующая согласования причастных - вообще абсолютное зло , Михрютка (ok), 17:10 , 10-Ноя-20, (41) +1

Как помочь несчастным 1 Делаешь ошибку в тексте 2 Люди радуются, что они умнее, Аноним (68), 09:52 , 11-Ноя-20, (68) +4

Отличная апология saas-убожеств, зло (?), 16:27 , 12-Ноя-20, (83)
создать технологию через которую пользователи хапают какашкипотом сказать что зл, СССР (?), 23:20 , 12-Ноя-20, (85)

хоспаде, да сколько можно-то, Аноним (7), 14:05 , 10-Ноя-20, (7) –3

Пока существует npm в нынешнем виде Еще неизвестно сколько ты оттуда уже вытяну, Аноним (13), 14:29 , 10-Ноя-20, (13) +3

Какие есть альтернативы и решения лучше Проблема зависимостей зависимостей ни ке, Аноним (15), 14:41 , 10-Ноя-20, (15) +1

Эпл стор Точно такие же дополнения для телефона как и дополнения для джаваскрип, Аноним (13), 14:47 , 10-Ноя-20, (17) –3

В принципе 100 это хорошая плата за входной билет Всех кто не заплатил - удаля, НяшМяш (ok), 15:21 , 10-Ноя-20, (23) +1

В год, а не просто 1 раз , Аноним (77), 19:10 , 11-Ноя-20, (77)

Там скоро вообще ничего оне будет Возможно, даже браузеров https habr com ru , Аноним (25), 15:29 , 10-Ноя-20, (25) +3
Ага, конечно, прям щас Лично я впихивал в апликуху таймаут на запрещенный показ , Урри (ok), 00:32 , 11-Ноя-20, (60) +1

Даже индус действующей по инструкции а по чему же ему еще действовать способен, Аноним (68), 09:56 , 11-Ноя-20, (69) +1

Построение репозиториев лунтикса, где у каждого пакета есть как минимум ответств, Dzen Python (ok), 15:41 , 10-Ноя-20, (29) +1
autoconf-то каким боком Он ниоткуда зависимости не выкачивает И вообще ничего , Аноним (84), 18:02 , 10-Ноя-20, (44) +2

autoconf имеет полноценный язык программирования m4 внутри Вы запускаете сборку , Аноним (15), 02:51 , 11-Ноя-20, (62)

Разница в том, что ты запускаешь только код из проекта, разработчикам которого д, Аноним (84), 18:58 , 11-Ноя-20, (76) +1

Решена теми, кто хочет решать Если установщик допускает прибитие гвоздями вериф, YetAnotherOnanym (ok), 18:42 , 10-Ноя-20, (47)

В npm так и есть, но новость о другом , Аноним (25), 19:34 , 10-Ноя-20, (54)

Тогда это всё напоминает анекдот девушку с плоской грудью спрашивают Сиськи ес, YetAnotherOnanym (ok), 10:00 , 11-Ноя-20, (70)

У тебя какая-то каша в голове Бери и фиксируй версию пакета в package json, при, Аноним (25), 17:09 , 11-Ноя-20, (74)

Так это я должен фиксировать версию пакета А я как-то ожидал, что это должен де, YetAnotherOnanym (ok), 10:34 , 12-Ноя-20, (80) +1

А разве номера версий не прописываются в package-lock json чтобы последующие npm, Аноним (77), 19:14 , 11-Ноя-20, (78) +1

Так и есть, просто YetAnotherOnanym пытается спорить о том, в чем не разбирается, Аноним (25), 14:40 , 12-Ноя-20, (82) +1

Т е тоже самое, что и в npm , Likern (?), 19:56 , 10-Ноя-20, (56) +2

По-видимому, не совсем то же самое, если npm регулярно оскандаливается, в отличи, YetAnotherOnanym (ok), 09:45 , 11-Ноя-20, (67) +1

от 2 мин до пару часов Если библиотеках без заморочек то пару мин в чем пробле, СССР (?), 23:24 , 12-Ноя-20, (86)

Следовательно, раздуть сей файлик до невменяемых размеров, пущай радуются, злоу, ryoken (ok), 14:09 , 10-Ноя-20, (8)
Вот это эпик Даже не эпик, это уже что-то легендарное NPM пакет с расширение, Lex (??), 14:11 , 10-Ноя-20, (9)

Может он точно знал кому закинуть трояна Посоцинженерил, а на то что его скача, Аноним (13), 14:28 , 10-Ноя-20, (12) +9

Во вредоносном репозитории выявлен пакет , макароновирус (?), 14:36 , 10-Ноя-20, (14) +5

Что-то никто не кричит про памятебезопасность и что порвем раст А тут вон оно к, Аноним (13), 14:49 , 10-Ноя-20, (19)

А было бы интересно провести открытый аудит всех пакетов cargo , Dzen Python (ok), 15:44 , 10-Ноя-20, (31)

полиэтиленовый , Анонимус111ЧЧЧ (?), 17:54 , 10-Ноя-20, (43)

гигиенический, YetAnotherOnanym (ok), 18:43 , 10-Ноя-20, (49)

В пакете - утка, а в утке яйцо зайца , Аноним (63), 04:04 , 11-Ноя-20, (63)

дискорд да еще и длл - I call ССЗБ, mos87 (ok), 14:47 , 10-Ноя-20, (16) +1
А почему нельзя использовать веб морду , Аноним (18), 14:48 , 10-Ноя-20, (18) –1
скорее уж был загружен _целых_ 100 раз, учитывая название пакета, Аноним (21), 14:56 , 10-Ноя-20, (21) +2
Может хватит постить новость про каждый вредоносный пакет на 100 скачиваний , Ненавижу SJW (?), 15:00 , 10-Ноя-20, (22) +2

А что так Уже фильтр ставить надо не на каждый факап, а только на серьёзное , Dzen Python (ok), 15:43 , 10-Ноя-20, (30) –1

npm 8212 один большой факап Зачем про это 100 8211 500 новостей , Аноним (84), 18:06 , 10-Ноя-20, (45) +1

Чтобы дети каку не трогали , YetAnotherOnanym (ok), 18:44 , 10-Ноя-20, (50)

Делаем ставки, когда следующую новость про трояны в npm подвезут , Аноним (34), 15:52 , 10-Ноя-20, (34)

Раньше, чем в pypi В pypi ведь каждый пакет проверяется вручную, а если что неч, Аноним (37), 16:54 , 10-Ноя-20, (37) +2

Там все проще вирсописателям там сложно зарегистрироваться , Аноним (39), 17:09 , 10-Ноя-20, (39)

Тебя дрвеб покусал Нет такого слова в русском языке , Аноним (84), 18:08 , 10-Ноя-20, (46)

никогда не было, и вот, ОПЯТЬ , Аноним (35), 16:12 , 10-Ноя-20, (35)
Haha, classic , Иваня (?), 16:40 , 10-Ноя-20, (36)
В репозитории NPM выявлен вредоносный пакет Пятёрочка , Аноним (-), 17:08 , 10-Ноя-20, (38) +3

Весь океан своими пакетами захламили , Аноним (39), 17:10 , 10-Ноя-20, (40) +1

Не смог у себя и дочки найти leveldb У кого-нибудь он есть , robot228 (?), 18:43 , 10-Ноя-20, (48) –1

Есть, Аноним (53), 19:32 , 10-Ноя-20, (53)
Анализ-то какой сдавали , Michael Shigorin (ok), 19:50 , 10-Ноя-20, (55)

Нифигфсе там помойка Похлеще чем в каком нибудь плей маркете , Аноним (51), 19:12 , 10-Ноя-20, (51)
node jsdllя знал, Аноним (52), 19:30 , 10-Ноя-20, (52) +3
Мне интересно они собираются postinstall скрипты запрещать или нет , Аноним (57), 20:11 , 10-Ноя-20, (57) –1
Передавались файлы профиля пользователя и БД в формате leveldb из каталогов бра, Kuromi (ok), 23:21 , 10-Ноя-20, (59) +2
Чёрт, когда всё это закончится , Аноним (64), 07:34 , 11-Ноя-20, (64)
В репозитории NPM выявлен вредоносный пакет discord.dll , Корец (?), 08:17 , 11-Ноя-20, (65)
discord twitch фреймворк бесплатно сделать крутой web 2 0 сайт без регистрации с, darkshvein (ok), 16:03 , 11-Ноя-20, (72)
2030 г , новость В репозитории NPM выявлен полезный пакет , Аноним (24), 16:47 , 11-Ноя-20, (73) +6
Читаешь такую новость и думаешь, а не автор ли пакета пишет её Ну а как бы еще, Аноним (87), 13:50 , 17-Ноя-20, (87)

Сообщения [Сортировка по ответам | RSS]

2. Сообщение от Аноним (2), 10-Ноя-20, 13:57 +5 +/–

> пытаются запустить исполняемые файлы bd.exe, dropper.exe и lib.exe
Под вайном работает? И кстати, зачем это на опеннете? Я конечно понимаю что тема dll/exe актуальна для почти всех посетителей сайта, но вроде его тематика слегка о другом.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10, #20, #28, #71

3. Сообщение от InuYasha (??), 10-Ноя-20, 13:58 +13 +/–

Новость можно добавить в crontab, приписав в заголовок слово "очередной". :)

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5, #79

5. Сообщение от Аноним (2), 10-Ноя-20, 14:00 +15 +/–

> bd.exe, dropper.exe и lib.exe
B crontab.exe

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #27

6. Сообщение от Аноним (6), 10-Ноя-20, 14:01 –1 +/–

npm это зло

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #32

7. Сообщение от Аноним (7), 10-Ноя-20, 14:05 –3 +/–

хоспаде, да сколько можно-то

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #13

8. Сообщение от ryoken (ok), 10-Ноя-20, 14:09 +/–

>> Передавались файлы профиля пользователя и БД в формате leveldb
Следовательно, раздуть сей файлик до невменяемых размеров, пущай радуются, "злоумышленники" :D.
NPM как-то тут гнездо уже свил :).

Ответить | Правка | Наверх | Cообщить модератору

9. Сообщение от Lex (??), 10-Ноя-20, 14:11 +/–

Вот это эпик. Даже не эпик, это уже что-то легендарное :))
NPM пакет с расширением dll ! :)
Судя по тому, что за полгода его скачали порядка 100 раз, это надо еще очень умудриться подобное написать при установке пакета( npm install discord.dll )
Хотя, даже не знаю, что больше удивляет - вышенаписанное или то, что был еще пакет discord.app, который:
Аналогично предполагалось качать с NPM ( npm install discord.app ) +
Судя по расширению, это закос под приложение для ЯБЛОКА +
Но пытается запустить (!) виндовый исполняемый файл bd.exe, которого, притом, нет.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12

10. Сообщение от Какаянахренразница (ok), 10-Ноя-20, 14:24 +3 +/–

Меня вычеркивайте. Ни на одном из моих компьютеров нет винды.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #42

12. Сообщение от Аноним (13), 10-Ноя-20, 14:28 +9 +/–

Может он точно знал кому закинуть трояна. Посоцинженерил, а на то что его скачает кто-то другой он не рассчитывал.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

13. Сообщение от Аноним (13), 10-Ноя-20, 14:29 +3 +/–

Пока существует npm в нынешнем виде. Еще неизвестно сколько ты оттуда уже вытянул троянов, но не знаешь об этом.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #15

14. Сообщение от макароновирус (?), 10-Ноя-20, 14:36 +5 +/–

Во вредоносном репозитории выявлен пакет.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19, #43, #63

15. Сообщение от Аноним (15), 10-Ноя-20, 14:41 +1 +/–

Какие есть альтернативы и решения лучше?
Проблема зависимостей зависимостей ни кем не решена.
Да и вообще всё что сказано про npm также относится и к pip, autoconf, crate.
Разве что в C++ чтобы что-то поставить можно потратить пару часов. Но это такая себе защита.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #17, #29, #44, #47, #86

16. Сообщение от mos87 (ok), 10-Ноя-20, 14:47 +1 +/–

дискорд да еще и длл - I call ССЗБ

Ответить | Правка | Наверх | Cообщить модератору

17. Сообщение от Аноним (13), 10-Ноя-20, 14:47 –3 +/–

Эпл стор. Точно такие же дополнения для телефона как и дополнения для джаваскрипт. Только в эпл сторе почему-то нет троянов которые прикидываются дллками для других приложений.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #23, #25, #60

18. Сообщение от Аноним (18), 10-Ноя-20, 14:48 –1 +/–

А почему нельзя использовать веб морду?

Ответить | Правка | Наверх | Cообщить модератору

19. Сообщение от Аноним (13), 10-Ноя-20, 14:49 +/–

Что-то никто не кричит про памятебезопасность и что порвем раст. А тут вон оно как памятебезопасность это не все.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #31

20. Сообщение от имя_ (?), 10-Ноя-20, 14:50 +1 +/–

тематика опенсорса, поделки на ноде - тоже опенсорс

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

21. Сообщение от Аноним (21), 10-Ноя-20, 14:56 +2 +/–

> был загружен лишь около 100 раз
скорее уж был загружен _целых_ 100 раз, учитывая название пакета

Ответить | Правка | Наверх | Cообщить модератору

22. Сообщение от Ненавижу SJW (?), 10-Ноя-20, 15:00 +2 +/–

Может хватит постить новость про каждый вредоносный пакет на 100 скачиваний?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #30

23. Сообщение от НяшМяш (ok), 10-Ноя-20, 15:21 +1 +/–

В принципе 100$ это хорошая плата за входной билет. Всех кто не заплатил - удалять. /s

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #77

24. Сообщение от Аноним (24), 10-Ноя-20, 15:21 +5 +/–

А тебе не впадлу с бедными общаться? Шёл бы уж к своим.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #26, #33

25. Сообщение от Аноним (25), 10-Ноя-20, 15:29 +3 +/–

> Только в эпл сторе почему-то нет троянов
Там скоро вообще ничего оне будет. Возможно, даже браузеров.
https://habr.com/ru/news/t/527182/

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

26. Сообщение от Аноним (26), 10-Ноя-20, 15:32 +4 +/–

Да он-то как раз среди своих: в комментах сплошное троллоло и школоло. И не убеждайте меня, что это не результат удаленки и досрочных каникул в школах

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

27. Сообщение от Dzen Python (ok), 10-Ноя-20, 15:37 +/–

Фу. В taskeng.exe
А созавать новость нужно исключительно через at

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #75

28. Сообщение от Dzen Python (ok), 10-Ноя-20, 15:39 –1 +/–

Нет, требует vcredist 2019

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

29. Сообщение от Dzen Python (ok), 10-Ноя-20, 15:41 +1 +/–

Построение репозиториев лунтикса, где у каждого пакета есть как минимум ответственный доверенный сопровождающий (известный по своему реальному ФИО и с которым можно в любое время связаться) и минимальное тестирование (аур и другие помойки - не в счет, хотя даже там есть понятие как TU)?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

30. Сообщение от Dzen Python (ok), 10-Ноя-20, 15:43 –1 +/–

А что так? Уже фильтр ставить надо не на каждый факап, а только на *серьёзное*?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #45

31. Сообщение от Dzen Python (ok), 10-Ноя-20, 15:44 +/–

А было бы интересно провести открытый аудит всех пакетов cargo.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

32. Сообщение от Dzen Python (ok), 10-Ноя-20, 15:48 +7 +/–

Технология не есть зло.
Софт, овеществливающий технологию не есть зло.
Сторонние данные, которыми оперирует софт не есть зло.
Разрабы, позволяющие людям заливать свои наработки без анальных допросов не есть зло.
Гнилая сущность человека, воюющего со всем миром ради кусочка ресурсов, и готовая ради этого отравить общий колодец, общий котел с данными - зло.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #41, #83, #85

33. Сообщение от Michael Shigorin (ok), 10-Ноя-20, 15:49 –1 +/–

> А тебе не впадлу с бедными общаться? Шёл бы уж к своим.
"...и пошла Василиса Прекрасная
туда,
куда Василиса Премудрая не осмелилась бы..."
(ц)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

34. Сообщение от Аноним (34), 10-Ноя-20, 15:52 +/–

Делаем ставки, когда следующую новость про трояны в npm подвезут.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #37

35. Сообщение от Аноним (35), 10-Ноя-20, 16:12 +/–

никогда не было, и вот, ОПЯТЬ!

Ответить | Правка | Наверх | Cообщить модератору

36. Сообщение от Иваня (?), 10-Ноя-20, 16:40 +/–

Haha, classic...

Ответить | Правка | Наверх | Cообщить модератору

37. Сообщение от Аноним (37), 10-Ноя-20, 16:54 +2 +/–

Раньше, чем в pypi. В pypi ведь каждый пакет проверяется вручную, а если что нечисто - автора пакета сразу полиции сдают, ведь там пакет можно только по паспорту залить.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #39

38. Сообщение от Аноним (-), 10-Ноя-20, 17:08 +3 +/–

В репозитории NPM выявлен вредоносный пакет "Пятёрочка"

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #40

39. Сообщение от Аноним (39), 10-Ноя-20, 17:09 +/–

Там все проще вирсописателям там сложно зарегистрироваться.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #46

40. Сообщение от Аноним (39), 10-Ноя-20, 17:10 +1 +/–

Весь океан своими пакетами захламили.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38

41. Сообщение от Михрютка (ok), 10-Ноя-20, 17:10 +1 +/–

а правила грамматики, требующая согласования причастных - вообще абсолютное зло.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #68

42. Сообщение от jOKer (ok), 10-Ноя-20, 17:53 –4 +/–

Ну зачем же вы так жестко опуск... гм... смущаете тех, у кого нет ни денег на Яблоко, ни мозгов для дружбы с Пингвином? Добрее надо быть, добрее. Добрее и толерантнее. Они и так уже судьбой обижены, - понимать надо.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #58

43. Сообщение от Анонимус111ЧЧЧ (?), 10-Ноя-20, 17:54 +/–

полиэтиленовый?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #49

44. Сообщение от Аноним (84), 10-Ноя-20, 18:02 +2 +/–

> всё что сказано про npm также относится и к pip, autoconf, crate.
autoconf-то каким боком? Он ниоткуда зависимости не выкачивает. И вообще ничего не выкачивает.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #62

45. Сообщение от Аноним (84), 10-Ноя-20, 18:06 +1 +/–

npm — один большой факап. Зачем про это 100–500 новостей?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #50

46. Сообщение от Аноним (84), 10-Ноя-20, 18:08 +/–

> вирсописателям
Тебя дрвеб покусал? Нет такого слова в русском языке.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

47. Сообщение от YetAnotherOnanym (ok), 10-Ноя-20, 18:42 +/–

> Проблема зависимостей зависимостей ни кем не решена
Решена теми, кто хочет решать. Если установщик допускает прибитие гвоздями верифицированной версии (как это есть, например, в rebar), то разраб может проверить работоспособность и отсутствие бяк в определённых версиях зависимостей и прописать в конфиге установщика версию и её хэш для каждой зависимости.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #54, #56

48. Сообщение от robot228 (?), 10-Ноя-20, 18:43 –1 +/–

Не смог у себя и дочки найти leveldb. У кого-нибудь он есть?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #53, #55

49. Сообщение от YetAnotherOnanym (ok), 10-Ноя-20, 18:43 +/–

гигиенический

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43

50. Сообщение от YetAnotherOnanym (ok), 10-Ноя-20, 18:44 +/–

Чтобы дети каку не трогали.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

51. Сообщение от Аноним (51), 10-Ноя-20, 19:12 +/–

Нифигфсе там помойка! Похлеще чем в каком нибудь плей маркете)

Ответить | Правка | Наверх | Cообщить модератору

52. Сообщение от Аноним (52), 10-Ноя-20, 19:30 +3 +/–

node.js
dll
я знал

Ответить | Правка | Наверх | Cообщить модератору

53. Сообщение от Аноним (53), 10-Ноя-20, 19:32 +/–

Есть

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

54. Сообщение от Аноним (25), 10-Ноя-20, 19:34 +/–

> Если установщик допускает прибитие гвоздями верифицированной версии
В npm так и есть, но новость о другом.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47 Ответы: #70

55. Сообщение от Michael Shigorin (ok), 10-Ноя-20, 19:50 +/–

Анализ-то какой сдавали?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

56. Сообщение от Likern (?), 10-Ноя-20, 19:56 +2 +/–

Т.е. тоже самое, что и в npm?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47 Ответы: #67

57. Сообщение от Аноним (57), 10-Ноя-20, 20:11 –1 +/–

Мне интересно они собираются postinstall скрипты запрещать или нет?

Ответить | Правка | Наверх | Cообщить модератору

58. Сообщение от Аноним (2), 10-Ноя-20, 20:57 –2 +/–

Тебе надо - ты их и понимай. Да и огрызок-то всего-лишь в 2 раза дороже. А иногда - даже дешевле.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #61, #66

59. Сообщение от Kuromi (ok), 10-Ноя-20, 23:21 +2 +/–

"Передавались файлы профиля пользователя и БД в формате leveldb из каталогов браузеров на базе движка Chromium (Chrome, Opera, Yandex Browser, Brave)"
Даже и не знаю, радоваться тому что файлы из Firefox не передавались или печалиться? Ну знаете, Неуловимый Джо которыйникому не нужен.

Ответить | Правка | Наверх | Cообщить модератору

60. Сообщение от Урри (ok), 11-Ноя-20, 00:32 +1 +/–

Ага, конечно, прям щас.
Лично я впихивал в апликуху таймаут на запрещенный показ сторонней рекламы в две недели, чтобы пройти ревью эплстора (каюсь, был молод и сильно нужны были деньги). С ревьюверами тоже неплохо познакомился - эти тупые копеечные индусы вообще ни на что не способны, кроме как ходить по инструкции. Один из них, например, докопался до юмористичного "яблоки" и "бабаны" в одной из форм (вы не можете использовать ничего что напоминало бы торговые марки эпла), но пропустил забытую не отключенную телеметрию о всей айоси.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #69

61. Сообщение от Аноним (-), 11-Ноя-20, 02:26 –1 +/–

И тебе поможем.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

62. Сообщение от Аноним (15), 11-Ноя-20, 02:51 +/–

autoconf имеет полноценный язык программирования m4 внутри.
Вы запускаете сборку и процесс имеет полные права на ваш $HOME, откуда можно что угодно стянуть как и в сабже.
Как бы вообще понимаете что сборка проекта ничего плохого не делает? Проверяете огромные портянки билд скриптов?
Разница сабжа и проекта с autoconf (такая же библиотека, которая обещает discord) - в npm можно сделать одной командой. Других отличий нет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #76

63. Сообщение от Аноним (63), 11-Ноя-20, 04:04 +/–

> Во вредоносном репозитории выявлен пакет.
В пакете - утка, а в утке яйцо зайца.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

64. Сообщение от Аноним (64), 11-Ноя-20, 07:34 +/–

Чёрт, когда всё это закончится!

Ответить | Правка | Наверх | Cообщить модератору

65. Сообщение от Корец (?), 11-Ноя-20, 08:17 +/–

>Build amazing things

Ответить | Правка | Наверх | Cообщить модератору

66. Сообщение от Аноним (66), 11-Ноя-20, 09:00 –1 +/–

в моем случае раз в 10 дороже

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58 Ответы: #84

67. Сообщение от YetAnotherOnanym (ok), 11-Ноя-20, 09:45 +1 +/–

> Т.е. тоже самое, что и в npm?
По-видимому, не совсем то же самое, если npm регулярно оскандаливается, в отличие от, например hex.pm.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56

68. Сообщение от Аноним (68), 11-Ноя-20, 09:52 +4 +/–

Как помочь несчастным:
1. Делаешь ошибку в тексте.
2. Люди радуются, что они умнее тебя, на минуту забывают, что их жизнь говно.
3. Улыбаешься.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

69. Сообщение от Аноним (68), 11-Ноя-20, 09:56 +1 +/–

Даже индус действующей по инструкции (а по чему же ему еще действовать) способен выявить тайпсквоттинг.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60

70. Сообщение от YetAnotherOnanym (ok), 11-Ноя-20, 10:00 +/–

> В npm так и есть
Тогда это всё напоминает анекдот: девушку с плоской грудью спрашивают "Сиськи есть?" - "Есть" - "А чё не носишь?".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54 Ответы: #74, #78

71. Сообщение от anonymous (??), 11-Ноя-20, 10:31 +/–

А что, открытый/свободный софт не может собираться и работать в проприетарщине?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

72. Сообщение от darkshvein (ok), 11-Ноя-20, 16:03 +/–

discord twitch фреймворк бесплатно сделать крутой web 2.0 сайт без регистрации смс

Ответить | Правка | Наверх | Cообщить модератору

73. Сообщение от Аноним (24), 11-Ноя-20, 16:47 +6 +/–

2030 г., новость:
"В репозитории NPM выявлен полезный пакет ..."

Ответить | Правка | Наверх | Cообщить модератору

74. Сообщение от Аноним (25), 11-Ноя-20, 17:09 +/–

У тебя какая-то каша в голове. Бери и фиксируй версию пакета в package.json, причем тут твой поток мыслей то?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70 Ответы: #80

75. Сообщение от user (??), 11-Ноя-20, 18:36 +/–

schtasks уже давно. At- deprecated

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #81

76. Сообщение от Аноним (84), 11-Ноя-20, 18:58 +1 +/–

Разница в том, что ты запускаешь только код из проекта, разработчикам которого доверяешь. Если не доверяешь, на фига тебе вообще это собирать? Ты ведь полученный бинарь запускать собрался, небось? Точно так же и он сам может оказаться трояном.
В случае npm без спроса выполняется код, получаемый по огромному и не поддающемуся контролю дереву зависимостей, написанный разными разработчиками, установить личности которых зачастую не представляется возможным.
И, кстати, если ты не гентушник или слакварщик, сборка обычно происходит не на рабочей системе, а в изолированном одноразовом окружении (в chroot, контейнере, виртуалке). Но это уже второстепенно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62

77. Сообщение от Аноним (77), 11-Ноя-20, 19:10 +/–

В год, а не просто 1 раз!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

78. Сообщение от Аноним (77), 11-Ноя-20, 19:14 +1 +/–

А разве номера версий не прописываются в package-lock.json чтобы последующие npm install устанавливали ту же самую версию?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70 Ответы: #82

79. Сообщение от Аноним (79), 12-Ноя-20, 00:35 +1 +/–

Мне непонятно, нафига вообще такие новости и кого они волнуют. Ладно бы какой-нибудь популярный пакет затроянили, а такое... неужели до сих пор непонятно, что нпм немодерируемый, туда кто угодно может залить что угодно?
С таким же успехом можно каждый час писать новости типа «на мегааплоад залили троян».

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

80. Сообщение от YetAnotherOnanym (ok), 12-Ноя-20, 10:34 +1 +/–

> У тебя какая-то каша в голове. Бери и фиксируй версию пакета в
> package.json, причем тут твой поток мыслей то?
Так это я должен фиксировать версию пакета? А я как-то ожидал, что это должен делать составитель пакета, в котором используется зависимость.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #74

81. Сообщение от PnD (??), 12-Ноя-20, 11:08 +/–

> cnf schtasks
schtasks: команда не найдена

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #75

82. Сообщение от Аноним (25), 12-Ноя-20, 14:40 +1 +/–

Так и есть, просто YetAnotherOnanym пытается спорить о том, в чем не разбирается.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #78

83. Сообщение от зло (?), 12-Ноя-20, 16:27 +/–

>you don't have to fire your it department, you can fire the internet
Отличная апология saas-убожеств

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32

84. Сообщение от Аноним (84), 12-Ноя-20, 19:12 +/–

На малинке сидишь?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #66

85. Сообщение от СССР (?), 12-Ноя-20, 23:20 +/–

создать технологию через которую пользователи хапают какашки
потом сказать что зло это не технология а человек
тем кто успел на эту какашку наступить уже все ровно что есть зло. просто сделает выводы и задумается что такое хайповые технологии а что такоео проверенные технологии.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32

86. Сообщение от СССР (?), 12-Ноя-20, 23:24 +/–

от 2 мин до пару часов. Если библиотеках без заморочек то пару мин. в чем проблема?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

87. Сообщение от Аноним (87), 17-Ноя-20, 13:50 +/–

Читаешь такую "новость" и думаешь, а не автор ли пакета пишет её?
Ну а как бы еще кто-то узнал, что есть сильно овиндованный пакет, запускающий какие-то exe файлы, который имеет аж 100 скачиваний?

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

2. Сообщение от Аноним (2), 10-Ноя-20, 13:57	+5 +/–
> пытаются запустить исполняемые файлы bd.exe, dropper.exe и lib.exe Под вайном работает? И кстати, зачем это на опеннете? Я конечно понимаю что тема dll/exe актуальна для почти всех посетителей сайта, но вроде его тематика слегка о другом.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #10, #20, #28, #71

3. Сообщение от InuYasha (??), 10-Ноя-20, 13:58	+13 +/–
Новость можно добавить в crontab, приписав в заголовок слово "очередной". :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #5, #79

5. Сообщение от Аноним (2), 10-Ноя-20, 14:00	+15 +/–
> bd.exe, dropper.exe и lib.exe B crontab.exe
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #27

6. Сообщение от Аноним (6), 10-Ноя-20, 14:01	–1 +/–
npm это зло
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #32

7. Сообщение от Аноним (7), 10-Ноя-20, 14:05	–3 +/–
хоспаде, да сколько можно-то
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #13

8. Сообщение от ryoken (ok), 10-Ноя-20, 14:09	+/–
>> Передавались файлы профиля пользователя и БД в формате leveldb Следовательно, раздуть сей файлик до невменяемых размеров, пущай радуются, "злоумышленники" :D. NPM как-то тут гнездо уже свил :).
Ответить \| Правка \| Наверх \| Cообщить модератору

9. Сообщение от Lex (??), 10-Ноя-20, 14:11	+/–
Вот это эпик. Даже не эпик, это уже что-то легендарное :)) NPM пакет с расширением dll ! :) Судя по тому, что за полгода его скачали порядка 100 раз, это надо еще очень умудриться подобное написать при установке пакета( npm install discord.dll ) Хотя, даже не знаю, что больше удивляет - вышенаписанное или то, что был еще пакет discord.app, который: Аналогично предполагалось качать с NPM ( npm install discord.app ) + Судя по расширению, это закос под приложение для ЯБЛОКА + Но пытается запустить (!) виндовый исполняемый файл bd.exe, которого, притом, нет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #12

10. Сообщение от Какаянахренразница (ok), 10-Ноя-20, 14:24	+3 +/–
Меня вычеркивайте. Ни на одном из моих компьютеров нет винды.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #42

12. Сообщение от Аноним (13), 10-Ноя-20, 14:28	+9 +/–
Может он точно знал кому закинуть трояна. Посоцинженерил, а на то что его скачает кто-то другой он не рассчитывал.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9

13. Сообщение от Аноним (13), 10-Ноя-20, 14:29	+3 +/–
Пока существует npm в нынешнем виде. Еще неизвестно сколько ты оттуда уже вытянул троянов, но не знаешь об этом.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #15

14. Сообщение от макароновирус (?), 10-Ноя-20, 14:36	+5 +/–
Во вредоносном репозитории выявлен пакет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #19, #43, #63

15. Сообщение от Аноним (15), 10-Ноя-20, 14:41	+1 +/–
Какие есть альтернативы и решения лучше? Проблема зависимостей зависимостей ни кем не решена. Да и вообще всё что сказано про npm также относится и к pip, autoconf, crate. Разве что в C++ чтобы что-то поставить можно потратить пару часов. Но это такая себе защита.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13 Ответы: #17, #29, #44, #47, #86

16. Сообщение от mos87 (ok), 10-Ноя-20, 14:47	+1 +/–
дискорд да еще и длл - I call ССЗБ
Ответить \| Правка \| Наверх \| Cообщить модератору

17. Сообщение от Аноним (13), 10-Ноя-20, 14:47	–3 +/–
Эпл стор. Точно такие же дополнения для телефона как и дополнения для джаваскрипт. Только в эпл сторе почему-то нет троянов которые прикидываются дллками для других приложений.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #15 Ответы: #23, #25, #60

18. Сообщение от Аноним (18), 10-Ноя-20, 14:48	–1 +/–
А почему нельзя использовать веб морду?
Ответить \| Правка \| Наверх \| Cообщить модератору

19. Сообщение от Аноним (13), 10-Ноя-20, 14:49	+/–
Что-то никто не кричит про памятебезопасность и что порвем раст. А тут вон оно как памятебезопасность это не все.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #31

20. Сообщение от имя_ (?), 10-Ноя-20, 14:50	+1 +/–
тематика опенсорса, поделки на ноде - тоже опенсорс
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

21. Сообщение от Аноним (21), 10-Ноя-20, 14:56	+2 +/–
> был загружен лишь около 100 раз скорее уж был загружен _целых_ 100 раз, учитывая название пакета
Ответить \| Правка \| Наверх \| Cообщить модератору

22. Сообщение от Ненавижу SJW (?), 10-Ноя-20, 15:00	+2 +/–
Может хватит постить новость про каждый вредоносный пакет на 100 скачиваний?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #30

23. Сообщение от НяшМяш (ok), 10-Ноя-20, 15:21	+1 +/–
В принципе 100$ это хорошая плата за входной билет. Всех кто не заплатил - удалять. /s
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #77

24. Сообщение от Аноним (24), 10-Ноя-20, 15:21	+5 +/–
А тебе не впадлу с бедными общаться? Шёл бы уж к своим.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #26, #33

25. Сообщение от Аноним (25), 10-Ноя-20, 15:29	+3 +/–
> Только в эпл сторе почему-то нет троянов Там скоро вообще ничего оне будет. Возможно, даже браузеров. https://habr.com/ru/news/t/527182/
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17

26. Сообщение от Аноним (26), 10-Ноя-20, 15:32	+4 +/–
Да он-то как раз среди своих: в комментах сплошное троллоло и школоло. И не убеждайте меня, что это не результат удаленки и досрочных каникул в школах
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24

27. Сообщение от Dzen Python (ok), 10-Ноя-20, 15:37	+/–
Фу. В taskeng.exe А созавать новость нужно исключительно через at
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5 Ответы: #75

28. Сообщение от Dzen Python (ok), 10-Ноя-20, 15:39	–1 +/–
Нет, требует vcredist 2019
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

29. Сообщение от Dzen Python (ok), 10-Ноя-20, 15:41	+1 +/–
Построение репозиториев лунтикса, где у каждого пакета есть как минимум ответственный доверенный сопровождающий (известный по своему реальному ФИО и с которым можно в любое время связаться) и минимальное тестирование (аур и другие помойки - не в счет, хотя даже там есть понятие как TU)?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #15

30. Сообщение от Dzen Python (ok), 10-Ноя-20, 15:43	–1 +/–
А что так? Уже фильтр ставить надо не на каждый факап, а только на серьёзное?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22 Ответы: #45

31. Сообщение от Dzen Python (ok), 10-Ноя-20, 15:44	+/–
А было бы интересно провести открытый аудит всех пакетов cargo.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19

32. Сообщение от Dzen Python (ok), 10-Ноя-20, 15:48	+7 +/–
Технология не есть зло. Софт, овеществливающий технологию не есть зло. Сторонние данные, которыми оперирует софт не есть зло. Разрабы, позволяющие людям заливать свои наработки без анальных допросов не есть зло. Гнилая сущность человека, воюющего со всем миром ради кусочка ресурсов, и готовая ради этого отравить общий колодец, общий котел с данными - зло.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #41, #83, #85

33. Сообщение от Michael Shigorin (ok), 10-Ноя-20, 15:49	–1 +/–
> А тебе не впадлу с бедными общаться? Шёл бы уж к своим. "...и пошла Василиса Прекрасная туда, куда Василиса Премудрая не осмелилась бы..." (ц)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24