npm

Запустить npm install было бы достаточно. Скрипт prepare в пакете автоматически выполняет файл, спрятанный под слоями закомментированных тестов, — тот подтягивает с удалённого сервера произвольный код и запускает его.

Разработчик не клонировал репозиторий локально. Он поднял одноразовый VPS, направил на код AI-агент с доступом только для чтения — и тот почти сразу выделил app/test/index.js. Тред вынес быстрый и мрачный вердикт об авторах: КНДР.

Официальных репозиториев это не коснулось вовсе; всё жило в AUR — пользовательском репозитории Arch, который собираешь сам и который заведомо никем не проверяется. Консультант по инфобезу выложил точную команду pacman, чтобы найти чужие пакеты у себя.

Быстрее всего сработал не патч. Добровольцы наперегонки усыновляли редко обновляемые сиротские пакеты, чтобы их не захватили атакующие; другие требовали минимального возраста пакетов и лимитов на усыновление, как в npm.