Crims poison 150K+ npm packages with token-farming malware
亚马逊泄露了 TEA然而，另一次供应链攻击已经袭击了 npm 注册表，亚马逊将其描述为“开源注册表历史上最大的软件包泛滥事件之一”，但情况有所不同。这是一场代币挖矿活动，而不是向软件包中注入窃取凭据的代码或勒索软件。
Invisible npm malware pulls a disappearing act – then nicks your tokens
PhantomRaven 将一百多个凭证窃取包放入 npm 一种名为 PhantomRaven 的新供应链攻击已在 npm 注册表中注入大量恶意包，这些恶意包会在安装过程中窃取凭证、令牌和机密。这些软件包在首次下载时看起来很安全，这使得安全应用程序特别难以识别它们。
Shai-Hulud worm returns, belches secrets to 25K GitHub repos
特洛伊木马 npm 软件包传播在预安装阶段执行的新变种，几天内攻击数以千计 根据 Wiz 研究人员的说法，针对节点软件包管理器 (npm) 的自我传播恶意软件又卷土重来，他们表示，三天内超过 25,000 名开发人员的秘密遭到泄露。
