在Node Package Manager索引中发现了一种恶意软件包，该包利用隐形的Unicode字符来隐藏恶意代码，并通过Google日历链接来托管指挥与控制位置的URL。该软件包名为os-info-checker-es6，看似是一个信息工具，自本月初以来已被下载超过1000次。Veracode的研究人员检测到，该软件包的初始版本是在3月19日添加到NPM索引的，最初只是收集主机的操作系统信息。几天后，作者对其进行了修改，加入了平台特定的二进制文件和混淆的安装脚本。
5月7日发布的新版本中，包含了一个复杂的指挥与控制机制，该机制提供最终的恶意负载。最新版本为v1.0.8，被警告为恶意软件。除此之外，该软件包还被列为四个其他NPM包的依赖项：skip-tot、vue-dev-serverr、vue-dummyy和vue-bit，这些软件包似乎是可访问性和开发者平台工程工具。
在恶意版本中，攻击者将数据嵌入到看似是一个’|’字符串中，但随后是一长串来自变体选择器补充范围的不可见Unicode字符。这些字符通常被用于在复杂脚本中提供特定的字形变体，但在此情况下，它们被用来实现基于文本的隐写术——在其他数据中隐藏信息。研究人员解码并去除混淆后发现，该字符串指向一个复杂的指挥与控制机制，该机制依赖于Google日历的短链接来定位最终负载。