朝鲜行为者部署恶意NPM包窃取Git存储库

Lazarus组织发布了数十个使用错误拼写名称的看似合法的NPM包。安装后，包会收集环境变量、SSH密钥、Git凭据和.env文件，将所有内容发送到攻击者控制的服务器。 开发人员是高价值目标，因为他们可以访问源代码、CI/CD流水线、云凭据和客户机密。保护措施：验证包的声誉，使用锁定文件，实施依赖项安全扫描。