Критические уязвимости в npm: Атака на цепочку поставок — что делать?

Вы столкнулись с серьезной атакой на цепочку поставок npm, которая произошла 8 сентября 2025 года. Согласно данным службы безопасности Aikido, в этот день были скомпрометированы 18 популярнейших npm-пакетов, включая color-convert, color-name, debug, chalk и другие базовые зависимости. Эти пакеты имеют более 2 миллиардов загрузок в неделю и являются критически важными для экосистемы JavaScript.aikido

Суть угрозы

Это НЕ обычные уязвимости

Ваш npm audit показывает 21 критическую уязвимость, но на самом деле это результат целенаправленной атаки на цепочку поставок. Злоумышленники:

Скомпрометировали основные npm-пакеты через взлом аккаунтов мейнтейнеровaikido
Внедрили вредоносный код, который исполняется в браузере пользователейaikido
Перехватывают криптовалютные транзакции и перенаправляют средства на аккаунты злоумышленниковaikido
Манипулируют взаимодействием с web3-кошельками незаметно для пользователейaikido

Затронутые пакеты

Согласно отчету Aikido Security, скомпрометированы следующие критически важные пакеты:

debug (357.6 млн загрузок в неделю)
chalk (299.99 млн загрузок в неделю)
color-convert (193.5 млн загрузок в неделю)
color-name (191.71 млн загрузок в неделю)
ansi-styles (371.41 млн загрузок в неделю)
И другие базовые зависимостиaikido

НЕМЕДЛЕННЫЕ ДЕЙСТВИЯ

1. НЕ запускайте `npm audit fix --force`

Это может установить еще более новые скомпрометированные версии и усугубить ситуацию.

2. Проверьте версии пакетов

Выполните команду для проверки установленных версий:

bashnpm list color-convert color-name debug chalk ansi-styles

3. Откатитесь к безопасным версиям

bash# Установите известные безопасные версии
npm install color-convert@1.9.3 color-name@1.1.4 debug@4.3.4

4. Очистите кэш npm

bashnpm cache clean --force

5. Удалите node_modules и переустановите зависимости

bashrm -rf node_modules package-lock.json
npm install

Долгосрочные меры безопасности

Заморозка версий зависимостей

В вашем package.json зафиксируйте точные версии:

json{
  "dependencies": {
    "color-convert": "1.9.3",
    "color-name": "1.1.4", 
    "debug": "4.3.4"
  }
}

Использование инструментов безопасности

Snyk или npm audit для регулярного мониторинга
package-lock.json для контроля точных версий зависимостей
Dependabot для автоматического отслеживания уязвимостей

Мониторинг проекта

После очистки регулярно проверяйте:

bashnpm audit --audit-level critical

Контекст атаки

Эта атака является частью крупнейшей кампании против экосистемы npm в 2025 году. Аналогичные инциденты произошли с:crowdstrike+1

Nx ecosystem в августе 2025github+1
eslint-config-prettier в июле 2025crowdstrike
Пакетом 'is' с 2.8 млн загрузок в неделюbleepingcomputer

Злоумышленники используют фишинг-кампании против мейнтейнеров npm-пакетов, создавая поддельные домены типа npnjs.com вместо npmjs.com.checkmarx+1

Заключение

Это не время для паники, а время для быстрых и решительных действий. Ваша система подверглась атаке на цепочку поставок мирового масштаба. Следуя приведенным выше инструкциям, вы сможете защитить свой проект от дальнейшего воздействия вредоносного кода.

Помните: npm audit fix --force в данной ситуации может только ухудшить положение. Действуйте осторожно и методично, откатываясь к проверенным безопасным версиям пакетов.

Добавить в последующие

Проверьте источники