Viermele npm Tensorlake (octombrie 2026): de ce nu revoci tokenul înainte să cureți persistenta

Pe 8 octombrie 2026, versiunea malițioasă [email protected] a apărut pe npm printr-un cont de maintainer compromis și a rulat un payload la instalare. Pachetul a furat tokenuri GitHub/npm, chei cloud și fișiere de configurare, apoi a încercat să se propage.

Detaliul critic pentru răspuns

Malware-ul a instalat un serviciu de monitorizare a tokenului GitHub. Dacă tokenul furat este revocat prea devreme, scriptul poate șterge directorul utilizatorului. De aceea, advisory-ul cere eliminarea persistenței înainte de rotația agresivă a secretelor.

Ce verifici pe o stație de dezvoltare sau CI

1. Istoricul instalărilor npm din perioada 8 octombrie 2026.
2. Procese și servicii necunoscute legate de monitorizarea tokenului.
3. Modificări neașteptate în .claude, .vscode sau hook-uri de editor.
4. Pachete republicate din conturile tale npm.

npm ls tensorlake
npm outdated

Lucrează pe o copie izolată când analizezi un proiect suspect. Nu rula npm install cu scripturi pe un host deja compromis fără un plan.

Prevenire

Preferă npm ci --ignore-scripts în CI acolo unde proiectul permite, pinuieste versiunile și limitează scope-ul tokenurilor. Provenance-ul npm spune unde s-a construit pachetul, nu că payload-ul este sigur.

Chiar dacă rulezi în principal PHP pe XSERVERE, pipeline-urile Node folosite la build pot introduce același risc pe stațiile echipei.