Pakiet npm tw-pkgprobe-7731 udawał narzędzie bug bounty Twilio i wykradał dane

ReversingLabs opisał złośliwy pakiet npm tw-pkgprobe-7731. Pakiet podawał się za narzędzie badawcze z programu bug bounty Twilio na HackerOne, a w rzeczywistości zbierał dane ze środowiska programistów. Trafił do rejestru npm w połowie sierpnia 2026 z konta twdepprobe7731. Tego samego dnia, w około 45 minut, opublikowano 11 jego wersji. Konto już nie istnieje. Po uruchomieniu pakiet sprawdzał, czy działa w środowisku deweloperskim Twilio. Jeśli tak, pobierał zmienne środowiskowe oraz informacje o systemie: punkty montowania, katalogi tymczasowe i konfiguracje. Zebrane dane wysyłał przez webhook.

Kogo dotyczy

Zagrożeni są programiści, którzy zainstalowali tw-pkgprobe-7731, zwłaszcza ci pracujący z API Twilio. Wersje 1.0.1, 1.0.2 i 1.0.3 szukały katalogów powiązanych z identyfikatorami kont Twilio (SID). Po znalezieniu pasujących katalogów przeglądały zainstalowane pakiety i katalog node_modules, a potem wstrzykiwały własny pakiet z plikami package.json i index.js.