Кампания с вредоносными npm-пакетами демонстрирует ограниченность защиты, которая проверяет только действия во время установки зависимостей. По данным BleepingComputer со ссылкой на исследователей Checkmarx, пакет indexed-btree маскируется под легитимную библиотеку и не использует привычные install-скрипты. Вместо этого его вредоносный код запускается позднее — когда приложение обращается к методу BTree.prototype.set(). Такой подход позволяет пройти механизмы, блокирующие или требующие отдельного разрешения для сценариев preinstall, install и postinstall...