Нов червей ChainDrop порази над 400 NPM пакета

1

Забелязано масова атака върху пакети в репозитория NPM, извършвана с новия самопроизвеждащ се червей ChainDrop, който вмъква злонамерен софтуер в зависимостите. В резултат на атаката са публикувани 2212 злонамерени версии за 444 пакета. Най-популярните от компрометираните пакети keyv, flat-cache и file-entry-cache имат 154, 149.9 и 147.6 милиона изтегляния на седмица.

Зареждащият червей се е намирал в файловете setup.mjs и Math_Symbol.js, които са били изпълнявани чрез preinstall-обработчик ("preinstall": "node setup.mjs"), повикван при инсталирането на компрометирания пакет. Посочените скриптове са зареждали легитимната Bun среда за изпълнение и объркания код на червея с размер 710 Кб. След активиране червейът е търсил в системата и в променливите на средата токени за NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s и други услуги (общо са били анализирани над 140 файлови пътеки, тип ~\ .npmrc), както и е анализирал паметта (чрез /proc//mem) на GitHub Actions за токени и идентификационни данни.

При откритие на токен за свързване с каталога NPM червейът автоматично е публикувал нови злонамерени версии за разработваните в текущата среда пакети, компрометирайки дървото на зависимостите. За разлика от преди идентифицирания червей Shai-Hulud 2.0 в ChainDrop е реализирана техника EtherHiding за получаване на управленски команди чрез публичния блокчейн Ethereum, използвано е криптиране за скриване на предаваните на сървъра конфиденциални данни на нападателя и осигурено е внедряване в конфигурационните файлове на Claude Code, VS Code и GitHub Copilot с цел затвърдяване на присъствието в системата.

Атаката е започнала с компрометиране на процеса на формиране на версии на база GitHub Actions за пакета keyv, който има 154 млн. изтегляния на седмица и се използва като зависимост в 1703 пакета. Нападателите са създали нова версия 6.0.0, вмъквайки злонамерен код в нея, и са я публикували, използвайки механизма „Trusted Publishers“ и с коректна SLSA-атестация. След публикацията червейът е поразил много зависимости на keyv пакети и по верига е започнал да засяга непреки зависимости.

Сред най-популярните пакети, които бяха поразени от червея, публикувал за тях злонамерени версии, са:

• flat-cache 6.1.24 (149.8 млн. изтегляния на седмица);
• file-entry-cache 11.1.6 (147.5 млн.);
• cacheable-request 13.0.20 (33.9 млн.);
• @cacheable/utils 2.5.1 (8.7 млн.);
• cacheable 2.5.1 (7.8 млн.);
• @cacheable/memory 2.2.1 (7.1 млн);
• cache-manager 7.2.10 (4.2 млн);
• @cacheable/node-cache 3.1.2 (1.5 млн).

Източник: linux.org.ru