Un pacchetto trojanizzato è un pacchetto software dall'aspetto legittimo che è stato modificato per includere codice malevolo. Può mantenere il nome originale, lo stile della versione o il branding del progetto, il che lo aiuta a confondersi nei normali flussi di installazione e aggiornamento delle dipendenze.
Questo è importante perché i gestori di pacchetti sono canali di distribuzione attendibili: gli sviluppatori spesso installano codice con accesso elevato a sistemi di build, segreti e chiavi di firma. Un pacchetto trojanizzato può rubare credenziali, aprire una backdoor o eseguire comandi durante l'installazione, i test o gli hook post-installazione. Negli attacchi, gli avversari possono abusare di un account di manutentore, caricare una release compromessa o pubblicare un pacchetto quasi identico per ingannare gli utenti. I difensori riducono il rischio verificando la provenienza del pacchetto, usando MFA sugli account di pubblicazione, bloccando le versioni, esaminando le modifiche alle dipendenze e isolando le build non affidabili in ambienti usa e getta.