Developer-Security

GitHub เปิดตัว Staged Publishing บน npm ซึ่งบังคับให้ Maintainer ผ่านการยืนยัน 2FA ก่อนที่แพ็กเกจจะเผยแพร่สู่สาธารณะ พร้อมเพิ่ม Install Source Flag สามตัวใหม่เพื่อควบคุมแหล่งที่มาของ Package ที่ติดตั้ง มาตรการนี้รองรับทั้ง CI/CD Pipeline แบบ non-interactive และ Trusted Publishing ด้วย OIDC ตอบสนองต่อการโจมตี Supply Chain ที่พุ่งสูงขึ้นอย่างรวดเร็วในช่วงที่ผ่านมา

แคมเปญ TrapDoor ปล่อยมัลแวร์ใน 34 แพ็กเกจและกว่า 384 เวอร์ชันข้ามระบบนิเวศ npm, PyPI และ Crates.io เพื่อขโมย Crypto Wallet, SSH Key และข้อมูลรับรองตัวตนของ Developer โดยเฉพาะในชุมชน DeFi, Solana และ AI มัลแวร์ยังโจมตี AI Coding Assistant ผ่านการแก้ไขไฟล์ .cursorrules และ CLAUDE.md โดยฝังคำสั่งซ่อนด้วย Unicode พิเศษ บริษัท Socket ตรวจพบแคมเปญนี้ในเวลาเฉลี่ย 5 นาที 27 วินาทีหลังปล่อย

ส่วนขยาย Nx Console เวอร์ชัน 18.95.0 บน VS Code Marketplace ถูกฝังมัลแวร์ขโมย Credential หลังจากเครื่องนักพัฒนาถูกเจาะและ GitHub Credentials รั่วไหล ผู้โจมตีใช้ Orphan Commit ซ่อน Payload ขนาด 498 KB ในที่เก็บโค้ดอย่างเป็นทางการ มัลแวร์ทำงานทันทีที่เปิด Workspace และขโมยข้อมูลผ่าน HTTPS, GitHub API และ DNS Tunneling