Разработчики библиотеки event-stream (https://github.com/dominictarr/event-stream/), около 2 миллионов копий которой еженедельно загружается (https://www.npmjs.com/package/event-stream) из репозитория NPM и которая используется во многих крупных проектах, предупредили (https://github.com/dominictarr/event-stream/issues/116) разработчиков о выявлении бэкдора в одной из своих зависимостей. Проблема выявлена в пакете flatmap-stream, в котором под видом тестового набора данных в одной из переменных передавался вредоносный код (https://github.com/dominictarr/event-stream/issues/116#issue...), предназначенный для кражи крипотвалюты и проведения целевой атаки на один из связанных с криптовалютой сервисов.

В частности, вредоносный код мог использоваться (https://github.com/bitpay/copay/issues/9346) для кражи криптовалюты из кошельков на базе платформы Copay (https://github.com/bitpay/copay). Во вредоносном коде также выполнялись манипуляции с файлами, используемыми в библиотеке bitcore-wallet-client (https://github.com/bitpay/bitcore-wallet-client). Не исключено, что атака может охватывать и другие связанные с криптовалютой приложения  на Node.js, которые так или иначе связаны зависимостями с event-stream.

URL: https://news.ycombinator.com/item?id=18534392
Новость: https://www.opennet.ru/opennews/art.shtml?num=49665