🛡️ Библиотека, заменившая файлы на сердечки
🛡️ Библиотека, заменившая файлы на сердечки На днях обновлял зависимость для билетной системы арены: пакет мелкий, автор известный, звёзд на GitHub выше крыши. Что могло пойти не так? Оказалось, могло. Наткнулся на разбор инженеров из YADRO про protestware — код, который разработчик намеренно вшивает в свою же библиотеку. Не ради денег, а ради идеи. Самый сочный кейс: пакет node-ipc проверял по IP-адресу, откуда пользователь, и если из России или Беларуси — переписывал файлы на диске «сердечками», оставляя на рабочем столе WITH-LOVE-FROM-AMERICA.txt. А у библиотеки es5-ext вредоносный код просыпался в 22:00 по локальному времени и грузил процессор на 100% — если у системы русская локаль. Страшное в другом: антивирусы такое не ловят, код от проверенного автора выглядит легитимным. Бомба спит и ждёт триггер — дату, страну, час ночи. С тех пор обновления в проде ставлю только руками, а не автопилотом. А вы знаете, кто подписывает зависимости в ваших проектах? #безопасность #opensource #код