Администраторы репозитория пакетов Packagist раскрыли сведения об атаке, в результате которой был захвачен контроль над учётными записями сопровождающих 14 PHP-библиотек, в числе которых такие популярные пакеты, как instantiator (526 млн установок всего и 8 млн установок за месяц), sql-formatter (94 млн установок),  doctrine-cache-bundle (73 млн) и rcode-detector-decoder (20 млн)...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=59075

• Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 09:51 , 04-Май-23
  • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Mail, 16:50 , 04-Май-23
  • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Повар, 23:19 , 04-Май-23
  • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,YetAnotherOnanym, 09:43 , 05-Май-23
• Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,alexandr_0503, 09:54 , 04-Май-23
• Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 10:09 , 04-Май-23
• Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 10:20 , 04-Май-23
  • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аммоним, 23:04 , 04-Май-23
• Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Кир, 10:23 , 04-Май-23
  • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аммоним, 23:06 , 04-Май-23
• Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 10:32 , 04-Май-23
  • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 10:35 , 04-Май-23
    • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 16:06 , 04-Май-23
      • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 20:09 , 04-Май-23
  • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 16:10 , 04-Май-23
    • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,нейм, 16:42 , 04-Май-23
      • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 17:59 , 04-Май-23
• Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,n00by, 10:36 , 04-Май-23
  • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Массоны Рептилоиды, 10:45 , 04-Май-23
    • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,n00by, 11:30 , 04-Май-23
      • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 22:27 , 04-Май-23
        • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 01:25 , 05-Май-23
        • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,n00by, 07:49 , 05-Май-23
  • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Бывалый смузихлёб, 16:44 , 04-Май-23
    • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,n00by, 18:18 , 04-Май-23
  • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,ivan_erohin, 05:56 , 05-Май-23
    • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,n00by, 06:55 , 05-Май-23
  • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Бздительный поцыент, 16:59 , 13-Май-23
    • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,n00by, 08:23 , 14-Май-23
• Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 10:52 , 04-Май-23
  • Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Аноним, 23:18 , 04-Май-23
• Перехвачен контроль над 14 PHP-библиотками в репозитории Pac...,Вы забыли заполнить поле Name, 13:28 , 04-Май-23
• Перехвачен контроль над 14 PHP-библиотеками в репозитории Pa...,Бывалый смузихлёб, 16:37 , 04-Май-23
  • Перехвачен контроль над 14 PHP-библиотеками в репозитории Pa...,Kuromi, 19:55 , 04-Май-23
• Перехвачен контроль над 14 PHP-библиотеками в репозитории Pa...,Вы забыли заполнить поле Name, 19:38 , 04-Май-23
  • Перехвачен контроль над 14 PHP-библиотеками в репозитории Pa...,Аноним, 22:28 , 04-Май-23
    • Перехвачен контроль над 14 PHP-библиотеками в репозитории Pa...,Коми, 00:13 , 05-Май-23
• Перехвачен контроль над 14 PHP-библиотеками в репозитории Pa...,Аммоним, 23:14 , 04-Май-23

Получит в итоге не работу, а место на нарах =)

Ща будет бегать толпа индусов со строчкой в резюме: "взломал Packagist"

Долго сидеть ему не придётся, дадим работку!

В РФ это была бы ст. 272 ч.1 УК - "Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло (...) модификацию (...) компьютерной информации" - максимум двушечка, причём
по ст. 53(1) - не лишения свободы, а принудительных работ. Кроме этого, в гл. 8 "Обстоятельства, исключающие преступность деяния" есть ст. 41 "Обоснованный риск":
1. Не является преступлением причинение вреда охраняемым уголовным законом интересам при обоснованном риске для достижения общественно полезной цели.
2. Риск признается обоснованным, если указанная цель не могла быть достигнута не связанными с риском действиями (бездействием) и лицо, допустившее риск, предприняло достаточные меры для предотвращения вреда охраняемым уголовным законом интересам.
То есть, если он скажет "я им емейл отправил, в котором предупреждал о небезопасных паролях, а они его проигнорили" - это будет основание вообще не считать его действия преступлением.

Сам же и свалился

Шизофрения она такая.

анонимный интернет не имел таких проблем. куда только таргаши не приходят - сразу становиться не возможно жить, куча проблем в том числе с безопасностью. отмените логины в интернете как было раньше и все станет нормально.

торгаши тянутся за обывателями

Вот как надо собеседования проходить! ))

Вот и выросло поколение, не слышавшее про "Резюме оставлять на рабочем столе Билла Гейца".

Незачем продакшнам внешние зависимости тянуть из сети. Нужно иметь только основной репозиторий кода со всеми зависимостями. Обновление версий зависимостей желательно вручную производить с тщательным тестированием.

Что самое интересное, на рост зарплаты это если вообще и влияет, то только положительно.

Никак не повлияет. Будешь делать больше работы за те же деньги.

А у прораба? )

Ага. И вычитывать весь код. А ещё лучше вообще никакой внешний код не использовать, и всё писать самому. И железо тоже самому делать.

SAST/DAST не, не слышали

Слышали, а как же. И даже наспор мимо них протаскивали патч Бармина. Они от ошибок программистов неплохо помогают, но от намеренного вредительства почти совсем нет.

> вопреки сложившейся практике "этических взломов"
> заранее не уведомил

+++
> "Pwned by neskafe3v1....
> Ищу работу на позиции Application Security,
> Penetration Tester, Cyber Security Specialist."

Интересно, что Гугл переводит "Looking for a job position" как просто "ищу работу", а Яндекс выдал всего 4 (четыре) страницы с фразой "Ищу работу на позиции".

> Ищу работу на позиции

Можно в оркестр

Те позиции по другую сторону.

Оркестровые позиции скоро везде будут.

Без тебя врядли.

Ножками буша торговали лет 10, импортозамещая отечественного производителя, пока не запретили ГМО, так что и франшиза Линукс вряд ли завтра закончится.

Не ну а что
Уведомляешь такой. Через неделю начинаешь типо взламывать, думая что контора возражений не имеет ведь ответа так и не последовало, но и возражений тоже.
А контора через две недели отправляет гневное письмо-ответ на исходное, чтобы близко со своими погаными лапами к сервакам не приближался иначе по башке надают( а то ведь реально что-то сломаться может в хитрозапутанных интеграциях и процессах. А может уже и быть сломано, зато найдётся отличный крайний козёл на хороший иск )
На вырученные от взлома деньги затариваешься сухарями и вазелином с доставкой. Гулять-так гулять напоследок. Зато заранее предупредил.

Там буквы русские, а текст сочинял плохо знающий язык.

> Ищу работу на позиции

если написать "принимаю заказы на ..., оплата почасовая или по результатам проектов", будет ли отклик лучше ?

Отклик будет лучше, если написать на "общепринятом в айти" языке. Отклик из России будет лучше, если писать по-русски, а не на мове. Если его и интересует отклик, то совсем не тот что заявлен.

Penetration Tester - это что-то из области испытателей игрушек?

Войтхеты (а стало быть и чорношляпники) компелируют сплоет и дудосят сайтенги, вряд ли он бета-тестером в геймдев целит.

> PHP

Жесть, думал это осталось в 00-х.

>> PHP
> Жесть, думал это осталось в 00-х.

У тебя голубые волосы, да?

Хорошее резюме

Что вообще за говнотермин "этический взлом"
В целом же, похоже что поцык просто захотел цену себе набить. Ведь монетизировать тот взлом чтобы стать реально богаче и не присесть он бы не смог

Этический - это неудачный "эпический"

Это не взлом, а фича современных централизованных пакетных менеджеров без подписи.

Качается ведь через HTTPS, зачем ещё какие-то подписи?

Ооо, сарказм.

> простые для подбора пароли без включения двухфакторной аутентификации
> без двухфакторной

Какое удивительное совпадение, корпорашки насильно ставят новые зонды "для вашей же безопасности", и тут такой удобный случай для запугивания несогласных