36 вредоносных пакетов npm замаскировались под плагины Strapi для установки бэкдоров и кражи учётных данных

Исследователи SafeDep обнаружили 36 вредоносных пакетов в реестре npm, замаскированных под плагины сообщества Strapi CMS. Все пакеты следуют шаблону именования "strapi-plugin-", имитируя легитимные плагины, у которых есть область "@strapi/". Вредоносный код встроен в скрипт postinstall, который выполняется автоматически при "npm install" без взаимодействия с пользователем. Кампания прошла через восемь вариантов полезной нагрузки: от эксплуатации Redis и побега из контейнеров Docker до прямого доступа к PostgreSQL с жёстко закодированными учётными данными и установки постоянного импланта для поддержания удалённого доступа. Всем, кто установил любой из 36 пакетов, следует немедленно ротировать учётные данные и считать систему скомпрометированной.