In de npm registry is opnieuw een malafide package ontdekt die een reverse shell opent, zo laat het npm Security Team weten. Twee weken geleden werden drie van dergelijke packages aangetroffen. De package in kwestie, "twilio-npm", deed zich voor als een library voor cloudcommunicatiedienst Twilio.

Na de installatie werd er echter een reverse shell naar een remote server geopend. Computers die de package hebben geïnstalleerd moeten volgens het npm Security Team als volledig gecompromitteerd worden beschouwd. Alle "secrets and keys" van de computer moeten direct vanaf een andere computer worden geroteerd, aldus het advies.

Gebruikers kunnen de malafide package wel verwijderen, maar aangezien aanvallers toegang tot het systeem gehad kunnen hebben is er geen garantie dat alleen het verwijderen van de package voldoende is om alle malware die via de package is geïnstalleerd te verwijderen, zo laat het npm Security Team verder weten. De package is inmiddels uit het npm registry verwijderd. Op dat moment was twilio-npm 462 keer gedownload.

Npm is de standaard package manager voor de JavaScript-omgeving Node.js en naar eigen zeggen het grootste softwarearchief ter wereld. Via het npm registry biedt het een groot archief met openbare, besloten en commerciële packages.