Il trusted dev branch diventa un percorso di distribuzione di malware
La trappola è il percorso trusted del package, non un nome di package falso. Un progetto legittimo Packagist/GitHub aveva il suo dev branch installabile compromesso, quindi i normali istinti di “installare il package ufficiale” fanno mancare il rischio reale: il branch che prelevi può contenere il payload.
Famous Chollima Targets PHP Developers Through Compromised P...
The North Korean malware loader hides in a Packagist-listed package and its GitHub branch to fetch and execute remote code in a likely Contagious Inte...