Minacce · 151 giorni fa
La trappola è il percorso trusted del package, non un nome di package falso. Un progetto legittimo Packagist/GitHub aveva il suo dev branch installabile compromesso, quindi i normali istinti di “installare il package ufficiale” fanno mancare il rischio reale: il branch che prelevi può contenere il payload.
1 fonte che coprono questa storia
Famous Chollima Targets PHP Developers Through Compromised P...
The North Korean malware loader hides in a Packagist-listed package and its GitHub branch to fetch and execute remote code in a likely Contagious Inte...
Part of the PlainSec briefing for 2026-06-01