🔥Никогда такого не было и вот опять****🔥

В npm залили кучу новеньких версия популярных пакетов с вредоносами. Ну залили и залили, а нам что с того?

Самая проблема в том, что даже если вы напрямую не используете эти пакеты — вполне вероятно что какая-нибудь из ваших любимых библиотек имеет их в зависимостях. Я у себя в проектах пошерстил и как минимум три из них у меня установлены как зависимости зависимостей.

💡Что делать?

В моменте: 1. Не обновляться до скомпроментированных версий 2. Проверить что в package-lock.json стоят не они

На будущее: 3. Зафиксировать версии в package.json и обновляться при необходимости вручную 4. Использовать в CI команду npm ci для установки зависимостей 5. Отправить этот пост коллегам

💡А что плохого делают эти вирусы?

В этот раз это не злобные шифровальщики, а хитрые криптоподменяльщики. Код переопределяет стандартные методы типа fetch на модифицированные, затем при отправке любого запроса ищет в запросе криптокошельки и подменяет на другие.

И здесь есть еще одна опасность. Если разработчики каких-либо крипто приложений добавили себе в сборку одну из взломанных библиотек, то все транзакции в их приложениях уйдут на кошельки хакеров и вы об этом узнаете только постфактум. Защититься от этого практически невозможно.

Будьте осторожны и повремените с переводами крипты в браузере.

Список и версии взломанных библиотек:

backslash 0.2.1 chalk-template 1.1.1 supports-hyperlinks 4.1.1 has-ansi 6.0.1 simple-swizzle 0.2.3 color-string 2.1.1 error-ex 1.3.3 color-name 2.0.1 is-arrayish 0.3.3 slice-ansi 7.1.1 color-convert 3.1.1 wrap-ansi 9.0.1 ansi-regex 6.2.1 supports-color 10.2.1 strip-ansi 7.1.1 chalk 5.6.1 debug 4.4.2 ansi-styles 6.2.2