Zaznamenáno masivní útok na balíčky v repozitáři NPM, prováděný pomocí nového samoreplikujícího se červa ChainDrop, který vkládal škodlivý kód do závislostí. V důsledku útoku bylo publikováno 2212 škodlivých vydání pro 444 balíčky. Nejoblíbenější z kompromitovaných balíčků keyv, flat-cache a file-entry-cache mají 154, 149,9 a 147,6 milionu stažení týdně.
Načítací červ byl umístěn v souborech setup.mjs a Math_Symbol.js, které byly spouštěny pomocí preinstall-handleru ("preinstall": "node setup.mjs"), volaného při instalaci napadeného balíčku. Uvedené skripty načítaly legální Bun runtime a obfuskovaný kód červa o velikosti 710 kB. Po aktivaci červ prohledával systém a proměnné prostředí na přístupové tokeny k NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s a dalším službám (celkem bylo analyzováno více než 140 cest k souborům, například ~/.npmrc), a také analyzoval paměť (přes /proc//mem) prostředí GitHub Actions na přítomnost tokenů a pověření.
V případě nalezení tokenu pro připojení k repozitáři NPM červ automaticky publikoval nové škodlivé verze pro balíčky vyvíjené v aktuálním prostředí, čímž zasáhl strom závislostí. Na rozdíl od dříve zjištěného červa Shai-Hulud 2.0 byla v ChainDrop implementována technika EtherHiding pro získávání řídících příkazů přes veřejný blockchain Ethereum, bylo použito šifrování k skrytí předávaných citlivých dat útočníků na server a bylo zajištěno zakomponování do konfiguračních souborů Claude Code, VS Code a GitHub Copilot pro upevnění přítomnosti v systému.
Útok začal kompromitací procesu vytváření výstupů na bázi GitHub Actions pro balíček keyv, který má 154 milionů stažení týdně a je používán jako závislost v 1703 balíčcích. Útočníci vytvořili novou verzi 6.0.0, do níž vložili škodlivý kód, a publikovali ji pomocí mechanismu "Trusted Publishers" a a správné SLSA-certifikace. Po publikaci červ napadl mnohé balíčky závislé na keyv a postupně začal zasahovat nepřímé závislosti.
Mezi nejoblíbenějšími balíčky, které byly zasaženy červem, jenž pro ně publikoval škodlivé verze, patří:
- flat-cache 6.1.24 (149,8 milionu stažení týdně);
- file-entry-cache 11.1.6 (147,5 milionu);
- cacheable-request 13.0.20 (33,9 milionu);
- @cacheable/utils 2.5.1 (8,7 milionu);
- cacheable 2.5.1 (7,8 milionu);
- @cacheable/memory 2.2.1 (7,1 miliónu);
- cache-manager 7.2.10 (4,2 miliónu);
- @cacheable/node-cache 3.1.2 (1,5 miliónu).
Zdroj: linux.org.ru
