आठ महीनों में तीन बार, वही npm वर्म रणनीति कारगर साबित हुई। अलग-अलग हमलावर, अलग-अलग पैकेज, वही कार्यप्रणाली, और प्रकाशन और पहचान के बीच का वही समय अंतराल जिसने हर बार इसे संभव बनाया। यदि आप पूछ रहे हैं कि npm वर्म वास्तव में क्या है और यह समस्या हल होने के बजाय बार-बार क्यों दोहराई जा रही है, तो इसका सीधा जवाब है: घटनाएं, कार्यप्रणाली, और वह एक कमी जो एक मजबूत सुरक्षा प्रणाली भी अभी तक नहीं छोड़ पाई है।
npm वर्म क्या है?
एनपीएम वर्म एक प्रकार का दुर्भावनापूर्ण कोड है जिसे एनपीएम रजिस्ट्री पर प्रकाशित किया जाता है और एक बार चलने के बाद यह स्वचालित रूप से अन्य पैकेजों में फैल जाता है। यह आमतौर पर किसी मेंटेनर के प्रकाशन क्रेडेंशियल्स को चुराकर और उनका उपयोग करके उसी पेलोड को उस मेंटेनर द्वारा नियंत्रित प्रत्येक पैकेज में इंजेक्ट कर देता है। यह क्लासिक अर्थ में "वर्म" है: यह किसी के द्वारा जानबूझकर इंस्टॉल किए जाने का इंतजार नहीं करता, बल्कि मशीन की गति से, पैकेज से पैकेज, अकाउंट से अकाउंट तक, अपने आप फैलता है।
यह स्व-प्रसार ही है जो एनपीएम वर्म की घटना को सामान्य दुर्भावनापूर्ण पैकेज से अलग करता है। एक खराब पैकेज भूसे के ढेर में सुई की तरह होता है। एनपीएम वर्म हर प्रभावित मेंटेनर को एक नए वितरण बिंदु में बदल देता है, और भूसे का ढेर अपनी खुद की सुइयां उत्पन्न करना शुरू कर देता है।
अब तक की सबसे बड़ी npm वर्म घटनाएं
पिछले वर्ष में एनपीएम वर्म पैटर्न को तीन वास्तविक दुनिया के परीक्षण दिए गए, जिनमें से प्रत्येक पिछले वाले की तुलना में अधिक कुशल था:
- शाई-हुलुद (सितंबर 2025)। यह पहला दस्तावेजीकृत स्व-प्रसारित एनपीएम वर्म है। इसने मेंटेनर के क्रेडेंशियल्स को हैक कर लिया और फिर उनका उपयोग करके उस मेंटेनर के नियंत्रण में मौजूद हर पैकेज के दुर्भावनापूर्ण संस्करण प्रकाशित किए, जिससे डेवलपर्स खुद वर्म के अगले चरण के लिए डिलीवरी तंत्र बन गए।
- एक्सियोस (मार्च 2026)। एक पैकेज के अंदर छिपा हुआ राष्ट्र-राज्य मैलवेयर, जिसे सप्ताह में लगभग 100 करोड़ बार इस्तेमाल किया जाता है। यह प्रसार के अर्थ में कोई वर्म नहीं है, लेकिन यह इस बात का प्रमाण है कि वही एनपीएम इकोसिस्टम ट्रस्ट मॉडल जिसका शाई-हुलुद ने फायदा उठाया था, वास्तव में बड़े पैमाने पर पेलोड ले जा सकता है।
- एसएपी एनपीएम (अप्रैल 2026)। उस समय इसे एक छोटा शाई-हुलुद कहा गया था: वही कीड़े जैसा पैटर्न, मूल घटना के एक साल से भी कम समय बाद बड़े पैमाने पर दोहराया गया। तंत्र में कोई बदलाव नहीं हुआ था। सुरक्षा व्यवस्था में भी ज़्यादातर कोई बदलाव नहीं हुआ था।
एनपीएम वर्म की तीन घटनाएं, एक दोहराव पैटर्नकिसी विश्वसनीय प्रकाशक की जानकारी को लीक से हटाकर, स्वचालित रूप से प्रचार करने के लिए उनके क्रेडेंशियल्स का उपयोग करें, और प्रकाशन और समुदाय द्वारा पता लगाए जाने के बीच के अंतर पर भरोसा करें ताकि बाकी काम हो जाए।
वह पैटर्न जो दोहराता है
अगर हम विशिष्ट विवरणों को हटा दें, तो हर npm वर्म घटना चार समान चरणों का अनुसरण करती है:
- खाता हैक हो गया। अनुरक्षक का प्रकाशन टोकन, npm loginया फिर CI क्रेडेंशियल चोरी हो जाता है, आमतौर पर फ़िशिंग, लीक हुए सीक्रेट या उनकी अपनी श्रृंखला में आगे किसी समझौता किए गए डिपेंडेंसी के माध्यम से।
- साइलेंट इंजेक्शन। हमलावर किसी वैध, भरोसेमंद पैकेज के नए संस्करण में दुर्भावनापूर्ण कोड जोड़कर उसे पुश करता है, अक्सर इसे पोस्टइंस्टॉल या अन्य लाइफसाइकिल स्क्रिप्ट के अंदर रखा जाता है जो किसी के द्वारा इसे इंस्टॉल करते ही स्वचालित रूप से चलने लगती है।
- स्वचालित प्रसार। यदि प्रभावित मेंटेनर अन्य पैकेजों को नियंत्रित करता है, या यदि दुर्भावनापूर्ण स्क्रिप्ट स्वयं अतिरिक्त क्रेडेंशियल एकत्र करती है, तो हमलावर की ओर से आगे की कार्रवाई के बिना ही वर्म अगले पैकेज और अगले मेंटेनर तक फैल जाता है।
- पता लगाने में लगने वाला समय। यह पैकेज रजिस्ट्री पर तब तक मौजूद रहता है, जब तक कोई इसे नोटिस नहीं करता, इसकी रिपोर्ट नहीं करता और इसे हटा नहीं दिया जाता। कुछ मामलों में यह कुछ घंटों का अंतराल होता है, जबकि अन्य में कई दिनों का। यही वह समय होता है जो इस वर्म को पनपने के लिए चाहिए होता है।
यह समझना ज़रूरी है कि बचाव के लिए चौथी कड़ी ही सबसे ज़्यादा मायने रखती है। एनपीएम वर्म की घटना से निपटने की हर रणनीति का मूल उद्देश्य उस पहचान में लगने वाले समय को कम करना या उससे बचना है।
एक उल्लेखनीय ढांचा: कूलडाउन समस्या का SIP द्वारा दिया गया समाधान
इस पैटर्न पर मिलने वाली हर प्रतिक्रिया विक्रेता की ओर से नहीं आती। सबसे स्पष्ट प्रतिक्रियाओं में से एक यह है: एसआईपी, मोहम्मद-अली अरबी की सुरक्षा संबंधी तत्काल योजनासॉफ्टवेयर सप्लाई चेन जोखिम के लिए एक पांच-नियंत्रण आपातकालीन ढांचा, जो सेफडेव सत्र के अंत में पूछे गए एक बहुत ही व्यावहारिक प्रश्न से निकला है: "यदि हम केवल कुछ ही चीजें कर सकते हैं, तो हमें पहले क्या करना चाहिए?"
SIP का दूसरा नियंत्रण सीधे तौर पर npm वर्म की समस्या को लक्षित करता है: पाँच दिन की कूलडाउन अवधि के साथ अनधिकृत निर्भरताओं को फ्रीज़ करना, और लाइफसाइकल स्क्रिप्ट को अक्षम करना ताकि इंस्टॉलेशन के दौरान कोई दुर्भावनापूर्ण पोस्टइंस्टॉल स्वचालित रूप से निष्पादित न हो सके। व्यवहार में, यही है min-release-age=5 और ignore-scripts=true किसी परियोजना में .npmrcइसे CI में लागू किया गया है ताकि लॉकफ़ाइल कल प्रकाशित पैकेज को चुपचाप हल न कर सके। यह वास्तव में एक कारगर और कम मेहनत वाला नियंत्रण है, और यह सीधे उसी डिटेक्शन लैग को लक्षित करता है जिस पर हर npm वर्म की घटना निर्भर करती है। विस्तार से जानें:
जहां कूलडाउन विंडो अभी भी एक अंतर छोड़ देती है
कूलडाउन अवधि एक तरह का दांव है: यह उम्मीद कि समुदाय प्रतीक्षा अवधि समाप्त होने से पहले ही किसी दुर्भावनापूर्ण पैकेज को पहचान लेगा और उसकी रिपोर्ट कर देगा। अधिकतर मामलों में, यह दांव सही साबित होता है। कई सारे असुरक्षित पैकेज प्रकाशन के पहले कुछ दिनों के भीतर ही चिह्नित हो जाते हैं, यही कारण है कि पांच दिन की समय सीमा एक उचित डिफ़ॉल्ट विकल्प है।
But an npm worm doesn’t behave like a typical malicious package, and that changes what a fixed cooldown can and can’t do for you.
To be precise about speed: a fast-propagating worm doesn’t actually defeat the cooldown itself. If you enforce a strict minimum release age, packages published during that initial wave are still too new to enter a build, no matter how many packages the worm compromises in the meantime. Speed matters, but it matters for everyone downstream who isn’t running a cooldown, not for beating one that’s already enforced.
The real limitation is patience. A more careful payload can sit dormant past the cooldown period, activating only once the days have cleared and the package has aged into the “trusted” zone, precisely because it knows a cooldown is watching. That’s the scenario where a fixed cooldown alone isn’t enough, and exactly where something like MEW’s evidence-based detection needs to sit alongside it, not instead of it.
इनमें से कोई भी विफलता SIP की सोच में खामी नहीं है। निष्क्रियता एक सामुदायिक पहचान पर आधारित दांव है, और सामुदायिक पहचान की भी एक सीमा होती है: यह उन चीजों को पकड़ नहीं सकती जिनकी रिपोर्ट अभी तक किसी ने नहीं की है। यह खामी केवल SIP तक ही सीमित नहीं है, बल्कि यह किसी भी ऐसी सुरक्षा प्रणाली की संरचनात्मक सीमा है जो कार्रवाई करने से पहले हस्ताक्षर, सलाह या सार्वजनिक रिपोर्ट की प्रतीक्षा करती है।
MEW कूलडाउन-विंडो के अंतर को कैसे कम करता है
यह पूर्व हैcisअंतर Xygeni का मैलवेयर अर्ली वार्निंग (MEW) MEW को इस तरह बनाया गया है कि यह पूरी तरह से सुरक्षित रहे। सामुदायिक रिपोर्टों या प्रकाशित हस्ताक्षर की प्रतीक्षा करने के बजाय, MEW नए पैकेज और संस्करणों के प्रकाशित होते ही NPM, PyPI और Maven को लगातार स्कैन करता है, और ज्ञात खतरों से मिलान करने के बजाय उनके व्यवहार का विश्लेषण करता है। जब कुछ भी दुर्भावनापूर्ण प्रतीत होता है, तो उसे क्वारंटाइन कर दिया जाता है और सार्वजनिक रूप से खुलासा करने से पहले सुरक्षा शोधकर्ताओं द्वारा इसकी पुष्टि की जाती है, बाद में नहीं।
ऊपर बताए गए दोनों एनपीएम वर्म विफलता मोड के लिए यह अंतर महत्वपूर्ण है। तेजी से फैलने वाले वर्म के खिलाफ, प्री-सिग्नेचर डिटेक्शन को पांच दिनों के कूलडाउन की आवश्यकता नहीं होती है। एक शांत, निष्क्रिय पेलोड के खिलाफ, MEW का व्यवहार विश्लेषण उम्र या प्रतिष्ठा की तलाश नहीं करता है, बल्कि यह देखता है कि कोड वास्तव में क्या करता है, इसलिए कूलडाउन अवधि समाप्त होने का इंतजार करने से हमलावर को कोई फायदा नहीं होता है।
MEW का डिपेंडेंसी फ़ायरवॉल इसे इंस्टॉलेशन के स्तर तक विस्तारित करता है, जिससे किसी भी दुर्भावनापूर्ण पैकेज को वास्तविक समय में ब्लॉक कर दिया जाता है, भले ही वह पहले की जाँचों से बच निकला हो, और यही डिटेक्शन लेयर इसे कवर करती है। CI/CD एनपीएम वर्म घटना का एक पहलू: अनलॉक-ब्रांच, इंजेक्ट, री-लॉक पैटर्न जो हमलावर को दुर्भावनापूर्ण सामग्री पुश करने की अनुमति देता है commit और चुपचाप अपने सारे सबूत मिटा देंगे, और अगर ऐसा होता भी है तो पूरी ऑडिट ट्रेल भी तैयार रखेंगे।
SIP और MEW एक ही प्रश्न का उत्तर अलग-अलग स्तरों पर दे रहे हैं।
इन सब बातों से SIP का कूलडाउन कंट्रोल गलत साबित नहीं होता, और यह बात साफ तौर पर कहना ज़रूरी है: लाइफसाइकिल स्क्रिप्ट को डिसेबल करके पांच दिन का कूलडाउन किसी भी सामान्य npm वर्म की घटना से बचाव का सबसे तेज़ और सस्ता तरीका है, और यह किसी भी गंभीर सप्लाई चेन हार्डनिंग प्लान का अहम हिस्सा है। डिज़ाइन के अनुसार, यह उन चीज़ों को पकड़ नहीं सकता जिन्हें कम्युनिटी ने अभी तक नहीं खोजा है। यह काम कूलडाउन के नीचे चलने वाले निरंतर, व्यवहार-आधारित डिटेक्शन का है, न कि इसके बदले चलने का।
इन दोनों दृष्टिकोणों को एक साथ लागू करने से एक ही समस्या के दोनों पहलुओं को कवर किया जा सकता है: SIP बिल्ड को और अधिक सुरक्षित बनाता है। pipelineनिर्भरता पर रोक, और ज्ञात, प्रकट खतरे के परिदृश्य के आसपास कंटेनर छवि, जबकि MEW का पूर्व-हस्ताक्षर पता लगाने से npm वर्म की उन घटनाओं को कवर किया जाता है जिनका अभी तक खुलासा नहीं हुआ है, जिन्हें एक कूलडाउन विंडो, अपने स्वयं के तर्क के अनुसार, आते हुए नहीं देख सकती है।
सामान्य प्रश्न
एक वाक्य में बताइए, npm वर्म क्या है?
npm पर प्रकाशित दुर्भावनापूर्ण कोड स्वचालित रूप से अन्य पैकेजों में फैल जाता है, आमतौर पर किसी मेंटेनर के क्रेडेंशियल्स को चुराकर और उनका उपयोग करके उसी पेलोड को कहीं और इंजेक्ट करके, हमलावर द्वारा आगे कोई कार्रवाई किए बिना।
क्या हर दुर्भावनापूर्ण npm पैकेज एक npm वर्म है?
नहीं। एक दुर्भावनापूर्ण पैकेज जो अपने आप नहीं फैलता, वह सप्लाई चेन अटैक है, लेकिन वर्म नहीं। एनपीएम वर्म की घटना की पहचान उसके स्व-प्रसार चरण से होती है: एक गड़बड़ी से दूसरी गड़बड़ी स्वतः ही उत्पन्न हो जाती है।
क्या डिपेंडेंसी कूलडाउन अवधि एनपीएम वर्म को रोक सकती है?
इससे जोखिम काफी हद तक कम हो जाता है, क्योंकि अधिकांश दुर्भावनापूर्ण पैकेज प्रकाशन के पहले कुछ दिनों के भीतर ही रिपोर्ट कर दिए जाते हैं। लेकिन कुछ समय बाद जानकारी लीक होने की संभावना समुदाय द्वारा पता लगाने की गति पर निर्भर करती है, और तेजी से फैलने वाला या जानबूझकर निष्क्रिय रहने वाला एनपीएम वर्म विशेष रूप से उस समय सीमा को पार करने के लिए बनाया जा सकता है।
कूलडाउन अवधि से पहले एनपीएम वर्म को वास्तव में क्या पकड़ लेता है?
निरंतर, व्यवहार-आधारित स्कैनिंग जो किसी हस्ताक्षर या सार्वजनिक रिपोर्ट के अस्तित्व पर निर्भर नहीं करती। यही वह विशिष्ट कमी है जिसे Xygeni के MEW जैसे पूर्व-हस्ताक्षर पहचान उपकरण दूर करने के लिए बनाए गए हैं।
