Qu’est-ce que les termes « bakso », « sate » et « rendang » vous évoquent ? Pour beaucoup, la réponse est « rien », les gourmets y verront des plats indonésiens, tandis que ceux qui suivent l’actualité de la cybersécurité penseront à une attaque contre l’écosystème Node Package Manager (npm), l’outil qui permet aux développeurs d’utiliser des bibliothèques prêtes à l’emploi au lieu d’écrire chaque ligne de code à partir de zéro.

À la mi-novembre, le chercheur en sécurité Paul McCarty a annoncé avoir découvert une campagne de spam visant à encombrer le registre npm. Bien entendu, il est déjà arrivé que des paquets inutiles apparaissent dans le registre, mais dans ce cas précis, on a recensé des dizaines de milliers de modules sans aucune utilité. Leur seul but était d’introduire des dépendances totalement inutiles dans les projets.

Les noms des archives comportaient des noms de plats indonésiens et des termes culinaires insérés au hasard, comme « bakso », « sate » et « rendang », ce qui a valu à la campagne le surnom d’ »IndonesianFoods ». L’ampleur du phénomène était impressionnante : au moment de la découverte, environ 86 000 paquets avaient été recensés.