Εγγεγραμμένος Μια μαζική επίθεση σε πακέτα στο αποθετήριο NPM πραγματοποιήθηκε χρησιμοποιώντας το νέο αυτοδιαδιδόμενο worm ChainDrop, το οποίο εισάγει κακόβουλο λογισμικό σε εξαρτήσεις. Η επίθεση είχε ως αποτέλεσμα 2212 κακόβουλες κυκλοφορίες για 444 πακέτα. Τα πιο δημοφιλή από τα παραβιασμένα πακέτα - keyv, flat-cache και file-entry-cache - λήφθηκαν 154, 149.9 και 147.6 εκατομμύρια φορές την εβδομάδα, αντίστοιχα.
Ο φορτωτής του worm βρισκόταν στα αρχεία setup.mjs και Math_Symbol.js, τα οποία ξεκίνησαν χρησιμοποιώντας τον χειριστή προεγκατάστασης ("preinstall": "node setup.mjs"), ο οποίος κλήθηκε κατά την εγκατάσταση του επηρεαζόμενου πακέτου. Αυτά τα σενάρια κατέβασαν τον νόμιμο χρόνο εκτέλεσης Bun και απέκρυψαν τον κώδικα worm, μεγέθους 710 KB. Μόλις ενεργοποιήθηκε, ο worm έψαξε στις μεταβλητές συστήματος και περιβάλλοντος για διακριτικά προς NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s και άλλες υπηρεσίες (αναλύθηκαν περισσότερες από 140 διαδρομές αρχείων, όπως το ~/.npmrc), και επίσης ανέλυσε τη μνήμη (μέσω του /proc/). /mem) του περιβάλλοντος GitHub Actions για διακριτικά και διαπιστευτήρια.
Εάν εντοπιστεί ένα διακριτικό για σύνδεση στον κατάλογο NPM, το worm δημοσίευε αυτόματα νέες κακόβουλες εκδόσεις για πακέτα που αναπτύσσονταν στο τρέχον περιβάλλον, μολύνοντας το δέντρο εξαρτήσεων. Σε αντίθεση με το προηγουμένως εντοπισμένο worm, Σάι-Χουλούντ 2.0 Το ChainDrop εφάρμοσε την τεχνική EtherHiding για να λαμβάνει εντολές ελέγχου μέσω του δημόσιου blockchain του Ethereum, χρησιμοποίησε κρυπτογράφηση για να αποκρύψει εμπιστευτικά δεδομένα που μεταδίδονται στον διακομιστή του εισβολέα και παρείχε injection στα αρχεία διαμόρφωσης των Claude Code, VS Code και GitHub Copilot για να εξασφαλίσει την παρουσία του στο σύστημα.
Η επίθεση ξεκίνησε με παραβίαση της διαδικασίας έκδοσης με βάση τις Ενέργειες GitHub για το πακέτο. keyv, το οποίο λαμβάνεται 154 εκατομμύρια φορές την εβδομάδα και χρησιμοποιείται ως εξάρτηση σε 1703 πακέτα. Οι εισβολείς δημιούργησαν μια νέα έκδοση, 6.0.0, με κακόβουλο κώδικα που εισήχθη σε αυτήν και τη δημοσίευσαν χρησιμοποιώντας το "Αξιόπιστοι εκδότες» και σωστό Πιστοποίηση SLSAΜετά τη δημοσίευση, το worm μόλυνε πολλά πακέτα που εξαρτώνται από το keyv και στη συνέχεια άρχισε να μολύνει έμμεσες εξαρτήσεις.
Μεταξύ των πιο δημοφιλών πακέτων που επηρεάστηκαν από το worm, το οποίο δημοσίευσε κακόβουλες εκδόσεις για αυτά:
- flat-cache 6.1.24 (149.8 εκατομμύρια λήψεις ανά εβδομάδα)
- προσωρινή μνήμη εισόδου-αρχείων 11.1.6 (147.5 εκατομμύρια);
- αίτημα προσωρινής αποθήκευσης 13.0.20 (33.9 εκατομμύρια);
- @cacheable/utils 2.5.1 (8.7 εκατομμύρια);
- προσωρινά αποθηκευμένο 2.5.1 (7.8 εκατομμύρια);
- @cacheable/memory 2.2.1 (7.1 εκατομμύρια);
- διαχειριστής προσωρινής μνήμης 7.2.10 (4.2 εκατομμύρια);
- @cacheable/node-cache 3.1.2 (1.5 εκατομμύρια).
Πηγή: linux.org.ru
