El paquete malicioso npm con 2 millones de descargas oculta malware en el código de ejecución

Un paquete npm malicioso que parecía ser una herramienta ordinaria de indexación de datos ha expuesto una debilidad en las defensas de la cadena de suministro de software. El paquete, indexed-btree, copió la identidad de la biblioteca legítima de sorted-btree y registró casi dos millones de descargas semanales.

En cambio, espera dentro del código normal de la aplicación y se activa cuando se utiliza la biblioteca, convirtiendo una dependencia confiable en una ruta para la creación de perfiles de host, el robo de datos y la entrega de payload de seguimiento. Paquete npm malicioso con 2 millones de descargas Indexed-btree no tiene ningún comando de preinstalación o postinstalación en la configuración de su paquete, por lo que instalarlo por sí solo no desencadena la rutina maliciosa. Informes anteriores sobre el abuso de réplicas de paquetes maliciosos muestran que los atacantes continúan adaptando canales de desarrolladores confiables para su entrega. El paquete también incluye funciones destinadas a eliminar archivos de malware y borrar el desencadenante del método prototipo.

Consultar publicación original ↗