indexed-btree: npm malware na nakalusot sa install-script gate ng npm v12

Ano ang nangyari

Noong Setyembre 17, 2026, inilabas ng Checkmarx Zero ang pagsusuri sa supply-chain campaign sa paligid ng npm package na indexed-btree, na nagpapanggap na lehitimong sorted-btree, at siyam na kapatid na package mula sa parehong operator. Magkakasama, may mahigit 5.3 milyong lingguhang download ang mga ito. Minarkahan na ng Snyk na malicious ang lahat ng bersyon noong Setyembre 7, at pagsapit ng Setyembre 20 natanggal na ang sampu.

Mga package: indexed-btree, ordered-kv-index, btree-leaderboard, priority-slot-queue, btree-range-store, btree-core, btree-time-index, btree-lru-cache, neighbor-key-map at sliding-score-window.

Ang bago: runtime malware

Mula Hulyo 2026, nangangailangan ang npm v12 ng tahasang pag-apruba bago magpatakbo ng install scripts. Walang install script ang indexed-btree. Nakatago ang loader sa BTree.prototype.set(), ang method na palaging tinatawag ng bawat app, at tumatakbo lamang kapag ang key ay maluwag na katumbas ng 100.

Iba pang detalye:

• nasa npm tarball lamang ang malicious code, wala sa GitHub repo;
• pineke ang commit history sa GitHub mula Disyembre 2025;
• exfiltration gamit ang Slack at Telegram, at ang ikalawang yugto ay kinukuha mula sa smart contract sa Ethereum Sepolia testnet;
• kayang burahin ng malware ang sarili.

Ano ang gagawin

1. Hanapin ang mga pangalang ito sa lockfile, SBOM, mirror at CI cache.
2. Kung makita, ingatan ang ebidensya at palitan ang npm token, Git credentials, cloud keys at CI secrets.
3. Bantayan ang runtime behavior ng build at developer machines.

Mga Pinagmulan

• Threadlinqs — indexed-btree npm Campaign (TL-2026-2590)
• Cloud Security Alliance — npm's indexed-btree Campaign Moves Malware to Runtime (PDF)