В репозитории NPM выявлена вредоносная активность в четырёх пакетах, включающих preinstall-скрипт, который перед установкой пакета отправлял на GitHub комментарий с информацией об IP-адресе, местоположении, логине, модели CPU и домашнем каталоге пользователя. Вредоносный код был найден в пакетах electorn (255 загрузок), lodashs (78 загрузок), loadyaml (48 загрузок) и loadyml (37 загрузок).

Проблемные пакеты были размещены в NPM c 17 по 24 августа для распространения с использованием тайпсквоттинга, т.е. с назначением имён похожих на названия других популярных библиотек с расчётом на то, что пользователь допустит опечатку при наборе имени или не заметит различий, выбирая модуль из списка. Судя по числу загрузок на данную уловку попалось около 400 пользователей, большая часть которая спутала electorn с electron. В настоящее время пакеты electorn и loadyaml уже удалены администрацией NPM, а пакеты lodashs и loadyml были удалены автором.

Мотивы злоумышленников неизвестны, но предполагается, что утечка информации через GitHub (комментарий отправлялся через Issue и в течение суток удалялся) могла быть выполнена в ходе эксперимента для оценки эффективности метода, или была запланирована атака в несколько стадий, на первой из которых собирались данные о жертвах, а на второй, которая не была воплощена в жизнь из-за блокировки, злоумышленники намеревались выпустить обновление с включением в новом выпуске более опасного вредоносного кода или бэкдора.