Ruim achthonderd npm-packages zijn getroffen door een supplychain-aanval, waarbij malware credentials steelt en zich verspreidt naar andere projecten. De aanval begon met het hacken van het GitHub-account van de maintainer van keyv, een populaire key-value storage library met 127 miljoen downloads per week. De malware steelt onder meer inloggegevens voor AWS, GitHub en Kubernetes, en zoekt naar SSH-keys en VPN-configuraties. Ontwikkelaars die de besmette packages hebben geïnstalleerd, lopen risico op infectie en verdere verspreiding. Cybersecuritybedrijf Socket heeft een overzicht van de getroffen packages gepubliceerd. Meer informatie vind je op Security.nl.