Вредоносный npm-пакет indexed-btree обходит защиту от install-скриптов

Checkmarx обнаружила npm-пакет indexed-btree, маскирующийся под библиотеку sorted-btree: вредоносный загрузчик спрятан в методе BTree.prototype.set() и срабатывает в рантайме, не запуская install-скрипты. Пакет набрал 2 млн загрузок в неделю; найдены ещё девять связанных пакетов, уже удалённых из npm.

• Пакет indexed-btree имитирует sorted-btree и имеет 2 млн загрузок в неделю
• Загрузчик спрятан в BTree.prototype.set() и обходит проверки npm v12
• Малварь собирает данные системы и шлёт их через Slack и Telegram
• C2-команды читаются из смарт-контракта Ethereum в сети Sepolia