I NPM-repositoriet ble der opdaget skadelig aktivitet i fire pakker, der indeholdt et preinstall-script, som før installationen af pakken sendte en kommentar med information om IP-adressen, placering, login, CPU-model og brugerens hjemmemappe til GitHub. Skadelig kode blev fundet i pakkerne (255 downloads), (78 downloads), (48 downloads) og (37 downloads).
De problematiske pakker blev uploadet til NPM fra den 17. til den 24. august for at blive distribueret ved at , dvs. ved at tildele navne, der ligner navne på andre populære biblioteker, med det formål at brugeren kunne begå en skrivefejl, når de indtastede navnet eller ikke bemærkede forskelle, når de valgte en modul fra listen. Ifølge antallet af downloads faldt omkring 400 brugere for denne fælde, hvoraf de fleste forvekslede electorn med electron. I øjeblikket er pakkerne electorn og loadyaml blevet fjernet af NPM-administrationen, mens pakkerne lodashs og loadyml blev slettet af forfatteren.
Motivationen bag angriberne er ukendt, men det antages, at oplysningerne blev lækket via GitHub (kommentaren blev sendt via Issue og blev slettet inden for et døgn) muligvis som en del af et eksperiment for at vurdere effektiviteten af metoden eller var en planlagt angrebsfase, hvor den første fase indsamlede data om ofrene, og i den anden, der ikke blev gennemført på grund af blokering, havde angriberne til hensigt at udgive en opdatering med inkludering af mere farlig skadelig kode eller en backdoor i den nye udgave.
Kilde: opennet.ru
