Între 19 și 26 octombrie 2026, cercetătorii au documentat un nou val de pachete npm și repository-uri compromise. Checklist pentru echipele care publică pe VPS.
În a doua jumătate a lunii octombrie 2026, cercetările publice au descris un cluster de pachete npm din familiile testmetest și @iobandamwer/*, plus zeci de repository-uri GitHub cu wrapper-e malițioase în .github/init.js și hook-uri pentru editoare AI.
Cum arăta vectorul
Unele pachete foloseau hook-uri în binding.gyp sau add-on-uri .node care decriptau un payload doar în afara mediilor CI/container. Altele se bazau pe fișiere de configurare Cursor/VS Code/Claude care rulau la deschiderea proiectului.
Verificări practice
- Caută dependențe cu sufixe
-testmetestsau scope-uri necunoscute. - Inspectează
package-lock.jsonpentru versiuni apărute recent fără motiv. - Verifică prezența unor fișiere mari neașteptate în
.github/. - Controlează task-urile din
.vscodeși regulile din.cursor.
npm ls --all --parseable | findstr /I testmetest
npm audit --omit=devPe Linux, înlocuiește findstr cu grep. Un audit curat nu garantează absența malware-ului de tip supply chain nou.
Pe serverul de producție
Preferă artefacte construite într-un CI controlat, fără npm install direct pe VPS-ul public. Rotirea secretelor se face după izolarea hostului și după eliminarea persistenței.
Pentru proiecte găzduite la XSERVERE, separă mediul de build de serverul care servește traficul clienților.
Ți-a fost util acest articol?