npm Blog Archive: `crossenv` malware on the npm registry

The npm blog has been discontinued. Updates from the npm team are now published on the GitHub Blog and the GitHub Changelog. On August 1, a user notified us via Twitter that a package with a name very similar to the popular cross-env package was sending environment variables from its installation context out to npm.hacktask.net. We investigated this report immediately and took action to remove the

[yosuke_furukawa]

crossenv マルウェア報道の公式回答、該当のユーザーはbannedした上で今後もこのような事は発見され次第対応予定。LiftSecurityやNodeSecurityProjectとも連携していく。

[teppeis]

npmではパッケージの静的解析、名前の類似度チェック、Smyteを利用した自動判定などを検討中

[efcl]

類似名のnpmフィッシングパッケージについて。 Smyteなどで検知できるようにする予定

[gfx]

著名パッケージに似た名前のマルウェアの件の公式見解