Вредоносные коммиты в репозиторий Zod: npm спасла проверка при публикации

В репозиторий colinhacks/zod на GitHub были добавлены вредоносные коммиты с загрузчиком, который через смарт-контракт Ethereum получал адрес для скачивания следующего этапа. По данным GitHub, вредоносная версия @nubjs/nub@0.9.4 была заблокирована сканером npm при публикации, а изменения в zod и standard-schema в реестр не попали.

• Вредоносные файлы маскировались под тесты: packages/zod/meta.test.mjs и packages/mini/meta.test.mjs
• Загрузчик использовал preinstall/postinstall и запрашивал адрес доставки у смарт-контракта Ethereum
• npm заблокировал @nubjs/nub@0.9.4 при публикации, версии zod и standard-schema не вышли
• SHA-256 полезной нагрузки: 5ed518aaff5aebc729545b8eb223ec31927cd1bfa53169517f09cdbcc9fd5a0b