Registreret en massiv angreb på pakker i NPM-repositoriet, udført ved hjælp af den nye selvspredende orm ChainDrop, som indsætter skadelig software i afhængigheder. Som følge af angrebet er der blevet offentliggjort 2212 skadelige udgivelser for 444 pakker. De mest populære blandt de kompromitterede pakker, keyv, flat-cache og file-entry-cache, har henholdsvis 154, 149.9 og 147.6 millioner downloads om ugen.
Ormens loader blev placeret i filerne setup.mjs og Math_Symbol.js, som blev kørt ved hjælp af preinstall-handleren ("preinstall": "node setup.mjs"), der blev kaldt under installationen af den berørte pakke. De nævnte scripts hentede den legitime Bun runtime og obfuskativ kode for ormen, som var 710 Kb stor. Efter aktiveringen søgte ormen i systemet og i miljøvariablerne efter tokens til NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, Kubernetes K8s og andre tjenester (i alt blev mere end 140 filstier, såsom ~\/ .npmrc, analyseret), samt analyserede hukommelsen (gennem \/proc\/<pid>\/mem) af GitHub Actions-miljøet for tokens og legitimationsoplysninger.
Hvis der blev fundet et token til at oprette forbindelse til NPM-kataloget, publicerede ormen automatisk nye skadelige udgivelser for pakker, der blev udviklet i det nuværende miljø, hvilket inficerede afhængighedstræet. I modsætning til den tidligere identificerede orm Shai-Hulud 2.0 i ChainDrop blev teknikken EtherHiding implementeret til at modtage kommandoer gennem den offentlige Ethereum blockchain, kryptering blev anvendt til at skjule følsomme data, der blev sendt til angribernes server, og der blev sikret implementering i konfigurationsfilerne for Claude Code, VS Code og GitHub Copilot for at fastholde tilstedeværelsen i systemet.
Angrebet startede med kompromittering af processen til at generere udgivelser baseret på GitHub Actions for pakken keyv, som har 154 millioner downloads om ugen og bruges som en afhængighed i 1703 pakker. Angriberne oprettede en ny version 6.0.0 og indsatte skadelig kode, som de offentliggjorde ved hjælp af mekanismen “Trusted Publishers” og korrekt SLSA-certificering. Efter offentliggørelsen ramte ormen mange afhængige pakker fra keyv og blev kædetrækkende til at inficere indirekte afhængigheder.
Blandt de mest populære pakker, der blev ramt af ormen, som offentliggjorde skadelige udgivelser til dem, finder vi:
- flat-cache 6.1.24 (149.8 millioner downloads om ugen);
- file-entry-cache 11.1.6 (147.5 millioner);
- cacheable-request 13.0.20 (33.9 millioner);
- @cacheable/utils 2.5.1 (8.7 millioner);
- cacheable 2.5.1 (7.8 millioner);
- @cacheable/memory 2.2.1 (7,1 millioner);
- cache-manager 7.2.10 (4,2 millioner);
- @cacheable/node-cache 3.1.2 (1,5 millioner).
Kilde: linux.org.ru
