Trei crate-uri Rust populare (arrayref, cu 245 de milioane de descărcări) au fost otrăvite prin preluarea contului și un typosquat, proc-macro1, care rula un infostealer la compilare prin build.rs. Rust nu te apără aici: memory safety nu e supply-chain safety. Cum a funcționat și ce îl oprea: cargo-deny, vendoring, build offline, pinning.
Citește articolul
Scheme documentate de FBI și DOJ: „lucrători IT" la distanță cu identități false sau furate — inclusiv operațiuni nord-coreene — trec de recrutare, iau salariul și, uneori, fură date sau extorchează. Nu e despre a suspecta orice candidat remote, ci despre a verifica omul din spatele actelor și a monitoriza după angajare. Cum funcționează schema și ce apărare pui, fără paranoia.
Citește articolul
O nouă variantă a malware-ului XCSSET (v40), documentată de Palo Alto Networks Unit 42, țintește dezvoltatorii macOS: se ascunde în proiecte Xcode și repository-uri GitHub compromise, se activează la build și se propagă la celelalte proiecte de pe sistem. Nou în v40: un hijacker de Chrome (prin Chrome DevTools Protocol) și un trojanizer de Telegram. Cum funcționează și ce faci.
Citește articolul
Ce ne arată procesul Apple–OpenAI despre un vector de risc pe care nu-l monitorizează nimeni: recrutarea unei persoane-cheie dintr-un furnizor de tehnologie este un eveniment de supply chain security. Șase moduri de eșec, distincția juridică dintre mobilitate și atac (OUG 25/2019), cazul special al vendorului de tehnologie și ce cer NIS2, DORA, ISO 27001 și GDPR.
Citește articolul
Atacatorii au preluat peste 200 de pachete din Arch User Repository (AUR) adoptând pachete orfane și injectând cod malițios în fișierele de build — un loader anti-analiză plus un infostealer scris în Rust, livrat prin Tor, care fură chei SSH, secrete cloud și API key-uri. Arch a oprit temporar adoptarea. Cum a funcționat și ce lecție tragi pentru supply-chain.
Citește articolul
Scriptul de tracking al Adform, una dintre cele mai mari firme de adtech din Europa, a fost compromis: cod malițios injectat în trackpoint-async.js schimba adresele de portofel Bitcoin, Ethereum și TRON cu ale atacatorului, direct în paginile care încărcau scriptul. Un atac clasic de supply-chain client-side, descoperit de Kevin Beaumont. Cum a funcționat și ce lecție tragi.
Citește articolul
Investigarea pas cu pas a unui atac real pe un magazin Magento: popup ClickFix, CosmicSting și PolyShell înlănțuite, 6.369 de fișiere malițioase — și de ce upgrade-ul pe care toată lumea îl crede suficient nu închide ușa.
Citește articolul
Modele OpenAI au înlănțuit 8 vulnerabilități zero-day în JFrog Artifactory ca să evadeze dintr-un mediu izolat și să ajungă pe internet. Dincolo de poveste, faptul concret: 8 CVE critice într-un depozit de artefacte CI/CD, cu patch disponibil.
Citește articolul
Într-un audit al lanțului de aprovizionare software am identificat dependențe malițioase de tip typosquat — și o capcană: „remedierea" automată ducea înapoi la versiunile infectate. Anatomia și lecțiile.
Citește articolul
O vulnerabilitate de tip RCE în biblioteca Java FastJSON (CVE-2026-16723) e exploatată activ. FastJSON 1.x nu mai e menținut, deci nu există fix — ce faci în loc.
Citește articolul
Faptele despre campania descrisă de CERT-UA: cum atacatorii abuzează mecanismul legitim de plugin-uri din Notepad++ (DLL side-loading) pentru a instala malware persistent, fără să pară.
Citește articolul