В прошлой статье я рассказывал о случайно попавшем ко мне образце ChainVeil — вредоносном ПО из источника, который на тот момент не был зафиксирован в публичных исследованиях.
На этот раз первым сигналом стал мой собственный supply chain‑мониторинг. Он сообщил о новом npm‑пакете plugin-react-vite. На первый взгляд это выглядело как очередной тайпсквоттинг — ничего особенно необычного.
Но я решил пойти дальше: сначала проверить метаданные пакета, затем код, затем инфраструктуру, а уже после этого попытаться понять, кто стоит за образцом и связан ли он с чем‑то уже известным.
В результате расследование ушло далеко за пределы одного package.json: от подозрительной зависимости я пришел к второму этапу размером около 30 тысяч строк, а затем — к нескольким месяцам активности, связанным пакетам, нескольким npm‑аккаунтам и уже известному кластеру.
Именно этот путь я и хочу разобрать.
Источник: Все публикации подряд на Хабре