Исследователи SafeDep обнаружили подмену исходного кода antd-img-crop — библиотеки обрезки изображений для Ant Design. В её репозитории GitHub злоумышленник замаскировал установщик похитителя данных OverLord под старый выпуск 4.30.0. Пакет, распространяемый через npm, по данным исследователей, не затронут.

Поддельная запись сохранила имя автора, сообщение и дату настоящего мартовского изменения. Поэтому обычный список изменений показывал 12 марта, хотя журнал активности GitHub фиксировал принудительную замену истории 31 октября. Атакующий мог переписать сведения внутри коммита, но не серверную запись о его загрузке.

Добавленный сценарий запускался при сборке кода из заражённого репозитория и загружал OverLord. SafeDep описывает кражу браузерных паролей, cookies, SSH-ключей и секретов из файлов окружения, а также установку удалённого доступа под видом компонентов Google. Число реально заражённых компьютеров в отчёте не установлено.

В этом случае опасность скрывалась не за новым подозрительным релизом, а за внешне знакомой историей проекта. Указанные в коммите автор и дата не подтверждали ни происхождения кода, ни момента его появления на сервере: подмену выдавал отдельный журнал активности.