NPM: zbackdoorowano pakiet mający 2 000 000 pobrań tygodniowo

Chodzi o event-stream, a szczegóły dostępne są tutaj. Dodany, złośliwy kod stara się wykradać kryptowalutę(y) z portfeli użytkowników – prawdopodobnie żeby kod zadziałał musi być dołączony właśnie do projektu, który realizuje tego typu operacje.

Jak doszło do infekcji? Poprzedni zarządzający repozytorium odpowiada z rozbrajającą szczerością:

he emailed me and said he wanted to maintain the module, so I gave it to him. I don’t get any thing from maintaining this module, and I don’t even use it anymore, and havn’t for years.

Czyli ktoś poprosił o dostęp, a ja się tym i tak nie zajmowałem – w czym więc problem?

Sytuacja cały czas jest rozwojowa (dopiero pojawiają się dokładniejsze analizy dołączonego złośliwie kodu, sam pakiet był zbackdoorowany przez około 2.5 miesiąca), a przy okazji przypominamy że to nie pierwszy tego typu duży problem z bezpieczeństwem pakietów w NPM.