V repozitáři NPM byla zjištěna zlovolná aktivita ve čtyřech balíčcích, které obsahovaly preinstall skript, jenž před instalací balíčku odesílal na GitHub komentář s informacemi o IP adrese, poloze, uživatelském jménu, modelu CPU a domovském adresáři uživatele. Zlovolný kód byl nalezen v balíčcích (255 stažení), (78 stažení), (48 stažení) a (37 stažení).
Problémové balíčky byly umístěny v NPM od 17. do 24. srpna k distribuci s využitím , tj. s přiřazením názvů podobných názvům jiných populárních knihoven s ohledem na to, že uživatel udělá chybu při psaní názvu nebo si nevšimne rozdílů při výběru modulu ze seznamu. Podle počtu stažení na tuto lest naletělo asi 400 uživatelů, přičemž většina z nich zaměnila electorn za electron. V současné době byly balíčky electorn a loadyaml spravovány administrací NPM a balíčky lodashs a loadyml byly odstraněny autorem.
Motivy útočníků nejsou známy, ale předpokládá se, že únik informací přes GitHub (komentář byl odeslán prostřednictvím Issue a do 24 hodin byl smazán) mohl být proveden v rámci experimentu za účelem hodnocení účinnosti metody, nebo že byla naplánována vícefázová útok, během první fáze sbíraly údaje o obětech, a ve druhé, která nebyla realizována kvůli zablokování, útočníci plánovali vydání aktualizace, která by v novém vydání zahrnovala nebezpečnější zlovolný kód nebo backdoor.
Zdroj: opennet.ru
