De JavaScript-bibliotheek Zod is in versie 4.6.6 voorzien van code die sterk wijst op een malware-aanval. De code stond in de pakketten zod, @zod/zod en @zod/mini en werd uitgevoerd zodra een gebruiker een van de pakketten installeerde.
De aangepaste pakketten bevatten een bestand met de naam meta.test.mjs. In de configuratie van de pakketten was een preinstall-commando toegevoegd dat dit bestand automatisch startte met Node.js. Daarmee werd de kwaadaardige code uitgevoerd voordat de installatie was afgerond.
Code haalt aanvullende software op
Het script maakte verbinding met drie Ethereum-infrastructuren: eth.llamarpc.com, ethereum-rpc.publicnode.com en cloudflare-eth.com. Via een blockchain-aanroep vroeg het script adressen op van aanvullende servers. Daarna probeerde het vanaf die adressen een bestand met de naam loader te downloaden.
Wanneer de server de verwachte gegevens teruggaf, schreef het script een payload naar een tijdelijke map op de computer. Ook werd aanvullende JavaScript-code ingeladen en uitgevoerd. De gedownloade bestanden werden daarna weer verwijderd, wat het opsporen van de activiteit kan bemoeilijken.
De code gebruikte onder meer de ingebouwde Node.js-modules voor bestanden, tijdelijke mappen en bestandslocaties. Er was geen zichtbare foutmelding wanneer de verbinding of uitvoering mislukte. Het script stopte in dat geval grotendeels stil, maar probeerde verschillende externe diensten achter elkaar.
Versie 4.6.6 aangepast
In de drie pakketten werd het versienummer verhoogd van 4.6.5 naar 4.6.6. Naast de extra installatiecode werden bestanden aan de distributie toegevoegd en werd de publicatieworkflow aangepast. Die workflow kon voortaan automatisch worden gestart bij wijzigingen aan de pakketbestanden op de hoofdbranch.
Zod is een veelgebruikte open-sourcebibliotheek voor validatie van gegevens in JavaScript- en TypeScript-toepassingen. Ontwikkelaars installeren de bibliotheek doorgaans via npm, waardoor een kwaadaardige versie tijdens een reguliere software-installatie op ontwikkelcomputers of buildservers terecht kan komen.
De aangetroffen code is specifiek bedoeld om externe code op te halen en uit te voeren. Gebruikers en beheerders die versie 4.6.6 hebben geïnstalleerd, doen er daarom verstandig aan die versie te verwijderen, een veilige versie te gebruiken en installatielogs en systemen op verdachte processen of netwerkverbindingen te controleren.
