Рекрутёр прислал репозиторий на GitHub «посмотреть». Атака началась при npm install (roman.pt)
Запустить npm install было бы достаточно. Скрипт prepare в пакете автоматически выполняет файл, спрятанный под слоями закомментированных тестов, — тот подтягивает с удалённого сервера произвольный код и запускает его.
Разработчик не клонировал репозиторий локально. Он поднял одноразовый VPS, направил на код AI-агент с доступом только для чтения — и тот почти сразу выделил app/test/index.js. Тред вынес быстрый и мрачный вердикт об авторах: КНДР.
Войдите, чтобы сохранить