Удалили заражённый npm-пакет — и думаете, что всё чисто? Это не так.

Червь Shai-Hulud прописывает демоны в системе и хуки в .vscode/tasks.json ещё до того, как вы успеете что-то удалить. После удаления пакета они остаются. Перезагрузка — не помогает. Отзыв токенов до изоляции машины — триггерит уничтожение домашнего каталога.

172 пакета npm и PyPI, 518 миллионов затронутых загрузок, CVSS 9.6. Каждый вредоносный пакет имел валидную SLSA-аттестацию. Подпись была настоящей. Пакеты — нет.

Если ваши разработчики использовали @tanstack/* после 11 мая — среду нужно считать скомпрометированной, пока не доказано обратное. 🛡️

Разбираем ИИ-инструменты для бизнеса →
ИИ Инструменты | Контент-завод | База знаний