Шнайер: вредоносные npm-пакеты, обходящие защиту, напоминают работу спецслужб

Известный специалист по безопасности Брюс Шнайер в своём блоге кратко отметил находку, которую называет впечатляющим образцом вредоносного кода: набор вредоносных пакетов в репозитории npm, спроектированных так, чтобы обходить средства защиты.

По словам Шнайера, сама изощрённость исполнения наводит его на мысль о причастности государственного актора. При этом он подчёркивает, что прямых доказательств этому нет и об атрибуции речи не идёт — это лишь его личное ощущение от качества работы, а не установленный факт.

Больше деталей о конкретных пакетах, механизме обхода защиты или пострадавших сторонах в самой заметке не приводится. Тем не менее сам факт того, что подобные находки в экосистеме npm заслуживают отдельного упоминания у Шнайера, показателен: цепочки поставок программного обеспечения остаются привлекательной мишенью, а качество атак растёт.

Источник: Schneier on Security