{"id":182783,"date":"2026-08-10T19:40:40","date_gmt":"2026-08-10T17:40:40","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov"},"modified":"2026-08-12T20:28:40","modified_gmt":"2026-08-12T18:28:40","slug":"novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov","title":{"rendered":"Den nye orm ChainDrop har ramt over 400 NPM-pakker","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Registreret<\/a> en massiv angreb p\u00e5 pakker i NPM-repositoriet, udf\u00f8rt ved hj\u00e6lp af den nye selvspredende orm ChainDrop, som inds\u00e6tter skadelig software i afh\u00e6ngigheder. Som f\u00f8lge af angrebet er der blevet offentliggjort 2212 skadelige udgivelser for 444 pakker. De mest popul\u00e6re blandt de kompromitterede pakker, keyv, flat-cache og file-entry-cache, har henholdsvis 154, 149.9 og 147.6 millioner downloads om ugen.<\/p>\n

 <\/p>\n

Ormworm loader was located in the files setup.mjs and Math_Symbol.js, which were executed using a preinstall handler (\"preinstall\": \"node setup.mjs\"), invoked during the installation of the affected package. The mentioned scripts loaded a legitimate Bun runtime and obfuscated worm code, sized 710 KB. Upon activation, the worm searched the system and environment variables for tokens for NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s, and other services (over 140 file paths were analyzed, such as ~\/.npmrc), and also examined the memory (through \/proc\/\/mem) of the GitHub Actions environment for tokens and credentials.<\/p>\n

 <\/p>\n

Hvis der blev fundet et token til at oprette forbindelse til NPM-kataloget, publicerede ormen automatisk nye skadelige udgivelser for pakker, der blev udviklet i det nuv\u00e6rende milj\u00f8, hvilket inficerede afh\u00e6ngighedstr\u00e6et. I mods\u00e6tning til den tidligere identificerede orm Shai-Hulud 2.0<\/a> i ChainDrop blev teknikken EtherHiding implementeret til at modtage kommandoer gennem den offentlige Ethereum blockchain, kryptering blev anvendt til at skjule f\u00f8lsomme data, der blev sendt til angribernes server, og der blev sikret implementering i konfigurationsfilerne for Claude Code, VS Code og GitHub Copilot for at fastholde tilstedev\u00e6relsen i systemet.<\/p>\n

 <\/p>\n

Angrebet startede med kompromittering af processen til at generere udgivelser baseret p\u00e5 GitHub Actions for pakken keyv<\/a>, som har 154 millioner downloads om ugen og bruges som en afh\u00e6ngighed i 1703 pakker. Angriberne oprettede en ny version 6.0.0 og indsatte skadelig kode, som de offentliggjorde ved hj\u00e6lp af mekanismen \u201cTrusted Publishers<\/a>\u201d og korrekt SLSA-certificering<\/a>. Efter offentligg\u00f8relsen ramte ormen mange afh\u00e6ngige pakker fra keyv og blev k\u00e6detr\u00e6kkende til at inficere indirekte afh\u00e6ngigheder.<\/p>\n

 <\/p>\n

Blandt de mest popul\u00e6re pakker, der blev ramt af ormen, som offentliggjorde skadelige udgivelser til dem, finder vi:<\/p>\n