ЭКСКЛЮЗИВ: КИБЕРХАОС В NPM — 89 000 «СЪЕДОБНЫХ» ПАКЕТОВ АТАКУЮТ РАЗРАБОТЧИКОВ
Мощная спам-кампания, маскирующаяся под индонезийскую кухню, захлестнула крупнейший реестр open-source кода. Это не просто мусор — это стратегическая атака на саму инфраструктуру разработки, создающая беспрецедентные риски для кибербезопасности.
В ноябре 2025 года экосистема Node Package Manager (npm) подверглась беспрецедентному наводнению. Было обнаружено около 89 000 вредоносных пакетов с названиями вроде «bakso-utils» или «sate-logger», имитирующих популярные библиотеки. Их цель — не кража данных напрямую, а тотальное засорение реестра и скрытое внедрение в проекты через опечатки или невнимательность. Это новый вектор фишинга, нацеленный на программистов.
По данным исследователей, эти пакеты, получившие название IndonesianFoods, маскировались под легитимный код с идеальной документацией и годами избегали обнаружения. Их главная опасность — механизм саморепликации. Некоторые модули, будучи установленными, каждые семь секунд автоматически публиковали новые вредоносные пакеты в npm, используя скомпрометированные учетные данные жертв. Это создавало лавинообразную утечку служебных токенов доступа.
«Это не классический ransomware, а изощренная подготовка почвы для будущих атак, — заявил наш источник в области безопасности блокчейна. — Загрязняя зависимости, злоумышленники создают тысячи точек для внедрения 0-day эксплойтов. Следующим шагом может быть целенаправленная атака на крипто-проекты через скомпрометированные библиотеки».
Каждый разработчик, использующий npm, теперь в зоне риска. Случайная опечатка при установке пакета может привести к внедрению скрытого эксплойта в цепочку поставок ПО. Это подрывает фундаментальное доверие к open-source экосистеме.
Мы прогнозируем волну подобных атак на другие репозитории в 2026 году. Цель хакеров — не сиюминутная выгода, тотальный подрыв безопасности на уровне инфраструктуры.
Когда кухня хакеров начинает кормить вас обновлениями, ждите отравления.
