Новият червей ChainDrop удари повече от 400 NPM пакета

Забелязано масова атака на пакети в репозитория NPM, проведена с помощта на нов самораспространяващ се червей ChainDrop, който вмъква злонамерен софтуер в зависимостите. В резултат на атаката са публикувани 2212 злонамерени версии за 444 пакета. Най-популярните от компрометирните пакети keyv, flat-cache и file-entry-cache имат 154, 149.9 и 147.6 милиона изтегляния на седмица.

Червей-изтеглител се разполагал в файловете setup.mjs и Math_Symbol.js, които се стартирали с помощта на preinstall обработчик («preinstall»: «node setup.mjs»), извикван при инсталация на засегнатия пакет. Указаните скриптове изтегляли легитимен Bun runtime и обфускиран код на червея с размер 710 Кб. След активиране червейт търсел в системата и в променливите на околната среда токените за NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s и други услуги (общо анализирани над 140 файлови пътеки, типа ~/.npmrc), а също анализирал паметта (през /proc//mem) на околната среда GitHub Actions за токени и идентификационни данни.

При откриване на токен за свързване с каталога NPM, червейът автоматично публикувал нови злонамерени версии за разрабатываните в текущата среда пакети, поразявайки дървото на зависимостите. В отличие от преди установения червей Shai-Hulud 2.0 в ChainDrop е реализирана техника EtherHiding за получаване на управляващи команди чрез публичния блокчейн Ethereum, използвано е криптиране за скриване на предаваните на сървъра от нападателите конфиденциални данни и осигурено внедряване в конфигурационните файлове на Claude Code, VS Code и GitHub Copilot за укрепване на присъствието в системата.

Атаката започна с компрометиране на процеса на формирования на версии на базата на GitHub Actions за пакета keyv, който има 154 милиона изтегляния на седмица и се използва като зависимост в 1703 пакета. Нападателите създали нова версия 6.0.0, вмъквайки в нея злонамерен код, и я публикували с помощта на механизма «Trusted Publishers» и коректна SLSA атестация. След публикуване червейът поразил множество зависими от keyv пакети и последователно започнал да поразява непреки зависимости.

Сред най-популярните пакети, които станаха жертви на червея, публикувал за тях злонамерени версии:

• flat-cache 6.1.24 (149.8 милиона изтегляния на седмица);
• file-entry-cache 11.1.6 (147.5 милиона);
• cacheable-request 13.0.20 (33.9 милиона);
• @cacheable/utils 2.5.1 (8.7 милиона);
• cacheable 2.5.1 (7.8 милиона);
• @cacheable/memory 2.2.1 (7.1 млн);
• cache-manager 7.2.10 (4.2 млн);
• @cacheable/node-cache 3.1.2 (1.5 млн).

Източник: linux.org.ru