🔥

npm взломан! Никогда такого не было и вот опять

В npm залили кучу новеньких версия популярных пакетов с вредоносами. Ну залили и залили, а нам что с того?

Самая проблема в том, что даже если вы напрямую не используете эти пакеты — вполне вероятно что какая-нибудь из ваших любимых библиотек имеет их в зависимостях. Я у себя в проектах пошерстил и как минимум три из них у меня установлены как зависимости зависимостей.

Что делать?

В моменте: 1. Не обновляться до скомпроментированных версий 2. Проверить что в package-lock.json стоят не они

На будущее: 3. Зафиксировать версии в package.json и обновляться при необходимости вручную 4. Использовать в CI команду npm ci для установки зависимостей 5. Отправить этот пост коллегам

А что плохого делают эти вирусы?

В этот раз это не злобные шифровальщики, а хитрые криптоподменяльщики. Код переопределяет стандартные методы типа fetch на модифицированные, затем при отправке любого запроса ищет в запросе криптокошельки и подменяет на другие.

И здесь есть еще одна опасность. Если разработчики каких-либо крипто приложений добавили себе в сборку одну из взломанных библиотек, то все транзакции в их приложениях уйдут на кошельки хакеров и вы об этом узнаете только постфактум. Защититься от этого практически невозможно.

Будьте осторожны и повремените с переводами крипты в браузере.

© Счастливый тимлид