חוקרי Checkmarx חשפו חבילת npm זדונית בשם indexed-btree, שהתחזתה לספריית sorted-btree הלגיטימית וצברה כמעט שני מיליון הורדות שבועיות לפני שהוסרה. בניגוד להתקפות שרשרת אספקה מוכרות, הקוד הזדוני לא רץ בסקריפט התקנה אלא הוסתר בתוך פונקציה שמשמשת בזמן ריצה בפועל.
הפרטים
החבילה הועלתה לרשם ה-npm ב-18 ביוני 2026 תחת המשתמש charlessadler25, וחוקרי Checkmarx זיהו לצדה תשע חבילות נוספות מאותה פעילות, עם הורדות הנעות בין כ-366 אלף לכמעט שני מיליון כל אחת. הקוד הזדוני ממתין בתוך הפונקציה המרכזית לכתיבת נתונים בספרייה, BTree.prototype.set(), ומופעל רק כאשר האפליקציה שמשתמשת בחבילה מעבירה אליה ערך מפתח מסוים — כך שהוא נמנע מסריקות שמתמקדות בסקריפטים המורצים בזמן התקנה.
לאחר ההפעלה, הקוד אוסף פרטי זיהוי על המחשב הנגוע (ארכיטקטורה, שם מארח, מעבד, זיכרון וזמן פעולה) ומעביר אותם דרך ערוצי Slack וטלגרם קבועים מראש. לניהול התקיפה עצמה הוא משתמש בחוזה חכם על רשת הבדיקה Sepolia של את'ריום, עם הצפנה וחילופי מפתחות מסוג X25519 — ערוץ פיקוד ובקרה עמיד יחסית לחסימה. לתוקפים יכולת למחוק את עקבות הקוד הזדוני מרחוק בבחירתם.
נקודות לשים לב
- אם בפרויקט שלך מותקנת
sorted-btreeאו כל חבילה מאותה משפחה (כוללbtree-core) — בדוק את שם החבילה המדויק ב-package-lock.json, ולא רק לפי שם התלות שציינת. - אם זוהתה החבילה הזדונית בסביבת פיתוח — החלף מיידית את כל המפתחות והסודות (מפתחות API, טוקנים, סיסמאות) ושחזר את הסביבה מגיבוי מאומת.
- סריקת סקריפטי התקנה בלבד אינה מספיקה יותר — הקוד הזדוני הפך להיות חלק מהפונקציונליות הרגילה שרצה בזמן אמת, ולכן נדרש ניתוח התנהגותי של מה שהחבילה עושה בפועל בריצה.
- התקיפה מדגימה מגמה: ככל שרשמי החבילות מגבילים סקריפטי מחזור חיים, תוקפים עוברים להסתרת קוד זדוני בתוך לוגיקה שנראית לגיטימית.
- אין לפרויקטים בעברית או ישראליים ספציפיים דיווח על פגיעה — מדובר בקמפיין גלובלי שפגע במפתחים המשתמשים בחבילה בכל העולם.
מקורות: BleepingComputer · Checkmarx
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
