#worm

npm keyv 系ワーム、444 パッケージに感染 preinstall 経由で開発者資格情報を窃取

週次ダウンロード 1.27 億回の npm パッケージ keyv とその周辺が 8 月 4 日、資格情報窃取ワームに侵害されました。SafeDep は 9:35–13:18 UTC の間に 79 パッケージ名にまたがる 2,234 の悪性バージョンを観測。preinstall フックが Bun ランタイムを取得し、728KB の Stealer が npm/GitHub/AWS/Vault/Kubernetes/暗号資産ウォレットの認証情報を狙います。