Безопасность 3 ноября 2026, 16:41 МСК

JFrog нашла код кампании testmetest в 42 GitHub-репозиториях

В 42 сторонних GitHub-репозиториях обнаружены загрузчики вредоносного издателя npm-пакетов и команды запуска через инструменты разработки.

По данным JFrog, в конфигурации Claude Code, Cursor, Gemini CLI и VS Code внедрили команды, запускающие файл .github/init.js. Поэтому вредоносный код может выполниться ещё до установки зависимостей.

Загрузчики скрывают издатель пакетов, который ищет токены, использует доверенную публикацию npm через GitHub Actions и добавляет вредоносный postinstall в выпускаемые пакеты. Если злоумышленник может изменить workflow, проверка происхождения пакета сама по себе не защищает от подмены содержимого.

Исследователи рекомендуют проверять дерево файлов и историю изменений конфигураций и workflow: обычный поиск по коду GitHub не показывает найденные загрузчики. При заражении сначала следует изолировать машину и удалить механизмы закрепления, а затем менять секреты с чистой системы.

• Обнаружены 42 сторонних репозитория
• Вредоносный код может запускаться до установки зависимостей
• Загрузчики размером около 13 МБ не видны в обычном поиске GitHub