🔥 Самая масштабная атака на экосистему JavaScript

Фишингом угнали npm-аккаунт мейнтейнера qix и пушнули апдейты в 18 ключевых пакетов (chalk, debug, strip-ansi, color-convert и др.) — суммарно это ~2,6 млрд загрузок в неделю.
В обновления вставили браузерный крипто-«клиппер»: на сайтах/в приложениях с уязвимыми версиями он перехватывает трафик и подменяет адреса кошельков.

Скомпрометированные версии — удалить немедленно из всех сред (локальные машины разработчиков, CI/CD, прод):

[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]

⚡️ Что стоит сделать:
▪Удалить уязвимые версии из дерева зависимостей, пересобрать и задеплоить исправления.
▪Проверить lock-файлы (package-lock.json, yarn.lock, pnpm-lock.yaml) и node_modules на присутствие перечисленных версий.
▪ Очистить кэш менеджера пакетов: npm cache clean --force, yarn cache clean, pnpm store prune.
▪ Переустановить зависимости с нуля (удалив node_modules и lock-файлы) и заново зафиксировать версии.
▪ Пересобрать фронтенд-бандлы, инвалидировать CDN/кэши, перезапустить рантаймы.
▪ Проверить логи на внешние запросы из бандла, провести аудит внесённых PR/коммитов.
▪ Ротировать ключи/токены, если могли утечь, и ужесточить 2FA/доступ к npm.

📌 Разбор атаки

#security #npm #javascript #supplychain #infosec #malware