В реестре npm обнаружен самораспространяющийся червь ChainDrop, который скомпрометировал более 1300 пакетов. Суммарно на заражённые библиотеки приходится около двух миллиардов установок в месяц, что делает инцидент одним из крупнейших в экосистеме JavaScript.

Под удар попали популярные библиотеки, включая Keyv, Cacheable, flat-cache и file-entry-cache. Эти пакеты активно используются в цепочках зависимостей множества проектов, поэтому реальное число затронутых разработчиков может быть значительно выше, чем количество непосредственно скомпрометированных пакетов.

Механизм распространения червя построен на автоматическом внедрении вредоносного кода в уже опубликованные версии пакетов. После заражения одного пакета ChainDrop сканирует его зависимости и пытается атаковать их через уязвимости в процессах публикации или через подмену учетных данных.

Судя по всему, атака носила автоматизированный характер и не была нацелена на конкретные проекты. Вредоносный код, вероятно, предназначен для кражи токенов доступа или установки бэкдоров в сборочные цепочки, что позволяет злоумышленникам внедрять код в конечные приложения потребителей.

Для разработчиков это означает необходимость срочной проверки lock-файлов и сверки контрольных сумм установленных пакетов. Эксперты рекомендуют временно зафиксировать версии зависимостей и дождаться публикации безопасных релизов, а также проверить CI/CD пайплайны на предмет несанкционированных изменений.