🥗 Индонезийская кухня в вашем NPM-меню В ноябре прошлого года менеджер пакетов NPM, позволяющий разработчикам ПО использовать общедоступные готовые би…
В ноябре прошлого года менеджер пакетов NPM, позволяющий разработчикам ПО использовать общедоступные готовые библиотеки, столкнулся с необычной атакой. Злоумышленники опубликовали огромное количество спам-пакетов в надежде, что кто-то из пользователей добавит их в свой проект по ошибке.
Масштабы кампании впечатляют: в момент её обнаружения было выявлено около 86 000 пакетов. Примечательно, что в их именах постоянно фигурировали названия индонезийских блюд и кулинарные термины: например, баксо, ренданг, сате. Потому кампания и получила название IndonesianFoods.
На первый взгляд «мусорные» пакеты выглядят безобидно: это просто набор бессмысленного кода. Но они внедряют в проекты лишние зависимости и тратят системные ресурсы разработчиков и организаций.
Особенности атаки и полезные уроки, которые можно и нужно извлечь — в нашей статье.