{"id":170684,"date":"2026-05-15T00:24:32","date_gmt":"2026-05-14T22:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv"},"modified":"2026-05-15T00:24:32","modified_gmt":"2026-05-14T22:24:32","slug":"v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","title":{"rendered":"42 NPM-paketti TanStack on integreeritud isekandv worm","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub Actions'i kaudu Redaktori vabanemiste loomise protsessi kompromiteerimise tulemusena \u00f5nnestus r\u00fcndajatel avaldada NPM-i hoidlas 84 pahatahtlikku versiooni, mis katavad 42 NPM-paketti TanStacki stack'ist. Osadele kompromiteeritud pakettidele oli \u00fcle 10 miljoni allalaadimise n\u00e4dalas. <\/p>\n
Juhtimine v\u00e4ljaandeid sai vale konfigureerimise t\u00f5ttu \u00e7ek pull_request_target «Pwn Request» GitHub Actions'is (maskimise n\u00e4itamine seadistustes viis pull_request_targeti k\u00e4ivitamiseni v\u00f5rgufoorkivide pull-requestid), GitHub Actions'i vahem\u00e4lu m\u00e4\u00e4rimise t\u00f5ttu fork'i kaudu ja v\u00f5imaluse t\u00f5ttu OIDC-token'i t\u00f6\u00f6tava runner'i t\u00f6\u00f6protsessi (Runner.Worker) m\u00e4lu sisu lugemiseks l\u00e4bi \/proc\/\/mem. <\/p>\n
Pahatahtlikud NPM-paketid avaldati 11. mail ajavahemikus 22:20 kuni 22:26 (MSK), m\u00e4rgati 20 minuti p\u00e4rast ja blokeeriti poolteise tunni p\u00e4rast. Iga kahjustatud NPM-paketi kohta avaldati kaks pahatahtlikku versiooni, kuhu oli integreeritud kood mini-shai-hulud-wormi aktiveerimiseks, mis otsis token'ite ja volituste olemasolu praeguses keskkonnas. Kui NPM'i direktorisse \u00fchendamise token leiti, j\u00f5udis worm automaatselt avaldada uusi pahatahtlikke versioone praeguses keskkonnas t\u00f6\u00f6tavatele pakettidele, m\u00f5jutades s\u00f5ltuvuste puu. Niimoodi oli kahjustatud \u00fcle 400 NPM-paketti, mis kasutasid TanStacki pakette s\u00f5ltuvustena. <\/p>\n
Worm asus failis router_init.js ja aktiveerus, kui m\u00f5jutatud pakett installiti k\u00e4sitsi arendaja v\u00f5i automatiseeritud kaudu pideva integratsiooni keskkonnas kasutades k\u00e4ske «npm install», «pnpm install» v\u00f5i «yarn install». P\u00e4rast aktiveerimist otsis worm s\u00fcsteemist NPM-i token'it (~\/.npmrc), AWS'i, GCP, Azure'i, HashiCorpi ja Kubernetes K8s, samuti SSH suletud v\u00f5tmeid. Leitud andmed saadeti kurjategijatele l\u00e4bi detsentraliseeritud P2P-s\u00f5numitooja getsession.org. <\/p>\n
Wormis oli ette n\u00e4htud h\u00e4vitavate tegevuste sooritamine, kui libisev NPM-token t\u00fchistati - s\u00fcsteemis seadistati perioodiline skripti ~\/.local\/bin\/gh-token-monitor.sh k\u00e4ivitamine, mis kontrollis iga 60 sekundi tagant token'i aktiivsust api.github.com\/useri kaudu ja t\u00fchistamise korral k\u00e4ivitas k\u00e4su «rm -rf ~». \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"