NPMのESLintのパッケージにマルウェアが混入された問題

Postmortem for Malicious Packages Published on July 12th, 2018 - ESLint - Pluggable JavaScript linter https://github.com/eslint/eslint-scope/issues/39 要約 2018年7月12日に、攻撃者がESLintメンテナーのnpmアカウントを不正利用し、悪意あるコードが混入したeslint-scopeとeslint-config-eslintパッケージをnpmレジストリに公開した。インストール時に、悪意あるパッケージがダウンロードされ、pastebin.comからコードを実行し、このコードはユーザーの.npmrcファイルの中身を攻撃者に送信する。通常.npmrcファイルにはnpmでパッケージを公開する際のアクセストークンが含まれる。 悪意あるパッケージ

[qnq777]

今回、2要素認証を推奨となっているが、そもそもnpm loginしたままは危ない、と以前から警告されていた。今回同様マルウェア入りパッケージをinstallステップで勝手にpublishされる危険があった。