Вредоносный npm-пакет маскируется под инструмент для Twilio и крадёт учётные данные
Исследователи в области кибербезопасности раскрыли детали вредоносного npm-пакета под названием «tw-pkgprobe-7731», который выдаёт себя за инструмент безопасности для разработчиков, интегрирующих Twilio в свои приложения. Пакет был впервые загружен в реестр npm в середине августа 2026 года с аккаунта «twdepprobe7731». Под угрозой — учётные данные разработчиков, работающих с сервисами Twilio.
Подробности
Пакет «tw-pkgprobe-7731» был впервые загружен в реестр npm в середине августа 2026 года. Автором выступил аккаунт под именем «twdepprobe7731». Само название и оформление пакета имитируют инструмент для проверки безопасности интеграций с Twilio — это рассчитано на то, что разработчик примет его за легитимную утилиту, связанную с программой bug bounty компании. По данным исследователей, после установки пакет скрытно предпринимает попытки сбора чувствительной информации. Речь идёт о попытках эксфильтрации учётных данных — то есть вывода секретов из среды разработчика на сторонние ресурсы, контролируемые злоумышленником. В исходной публикации не приводятся сведения о конкретных CVE, так как речь идёт о вредоносном пакете в репозитории, а не об уязвимости в легитимном продукте. Ключевые признаки компромисса, на которые следует обратить внимание: наличие пакета «tw-pkgprobe-7731» в файлах зависимостей (package.json и lock-файлах), а также в кэше npm. Отдельно стоит проверить, не запускались ли скрипты установки, которые могли выполниться в момент добавления пакета в проект.Что делать
В первую очередь проверьте проекты и CI/CD-пайплайны на наличие пакета «tw-pkgprobe-7731» в зависимостях. Если он обнаружен — немедленно удалите его и обновите lock-файлы. Далее необходимо исходить из того, что учётные данные могли быть скомпрометированы. Рекомендуется: — ротировать все секреты, которые были доступны в среде, где устанавливался пакет: API-ключи Twilio, токены доступа, пароли, ключи к облачным сервисам; — проверить журналы npm и системные логи на предмет необычной сетевой активности в момент установки и работы пакета; — убедиться, что для критичных сервисов включена MFA, а доступы ограничены принципом минимальных привилегий; — усилить контроль зависимостей: использовать lock-файлы, проверять авторов и репутацию пакетов перед установкой, применять инструменты сканирования состава ПО (SCA); — предупредить команду разработки о конкретном имени пакета и аккаунта-отправителя, чтобы исключить повторную установку. Для организаций, использующих мониторинг безопасности, имеет смысл добавить индикаторы компромисса, связанные с этим пакетом, в правила обнаружения. Итог: случай «tw-pkgprobe-7731» — очередное напоминание о том, что репутация бренда в названии пакета не является гарантией безопасности. Регулярная проверка зависимостей и быстрая ротация секретов остаются базовыми мерами защиты от атак на цепочку поставок.Источник: The Hacker News