Rögzítve tömeges támadás az NPM tárolóban lévő csomagok ellen, amelyet az új ChainDrop önterjedő féreg használ, ami rosszindulatú szoftvert helyez el a függőségekben. A támadás következtében 2212 rosszindulatú kiadás került közzétételre 444 csomaghoz. A legnépszerűbb érintett csomagok, mint a keyv, flat-cache és file-entry-cache, heti 154, 149,9 és 147,6 millió letöltést számoltak.
A féreg letöltője a setup.mjs és Math_Symbol.js fájlokban volt, amelyeket a preinstall kezelő segítségével indítottak el ("preinstall": "node setup.mjs"), amelyik a sérült csomag telepítésekor futott. A megadott szkriptek egy legitim Bun runtime-ot és egy obfuszkált féregkódot töltöttek le, amely 710 Kb méretű volt. Aktiválás után a féreg a rendszerben és a környezeti változókban kereste az NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s és más szolgáltatások tokeneit (összesen több mint 140 fájlútvonal elemzése zajlott, mint pl. ~/.npmrc), valamint elemezte a memóriát (a /proc//mem-en) a GitHub Actions környezetének tokenei és hitelesítő adatai után.
Amennyiben NPM könyvtárhoz való csatlakozáshoz tokent észlelt, a féreg automatikusan új rosszindulatú kiadásokat tett közzé az aktuális környezetben fejlesztett csomagokhoz, ezáltal megfertőzve a függőségeket. A korábban észlelt féreggel ellentétben Shai-Hulud 2.0 a ChainDrop-ban EtherHiding technikát valósítottak meg a parancsok nyilvános Ethereum blokkláncon keresztüli átvitelére, titkosítást alkalmaztak a támadók által a szerverre továbbított érzékeny adatok elrejtésére, és beépítették a Claude Code, VS Code és GitHub Copilot konfigurációs fájljaiba, hogy biztosítsák a rendszerben való jelenlétüket.
A támadás a GitHub Actions alapú kiadási folyamat kompromittálódásával kezdődött a keyvcsomag esetében, amely heti 154 millió letöltést tudhat magáénak, és 1703 csomagban használják függőségként. A támadók létrehoztak egy új 6.0.0 verziót, amelybe rosszindulatú kódot helyeztek, és ezt a "Trusted Publishers" és a helyes SLSA-tanúsítás. A közzététel után a féreg számos keyv-től függő csomagot megfertőzött, és láncreakciót indított a közvetett függőségek fertőzésében.
A legnépszerűbb csomagok közül, amelyeket a féreg megfertőzött, rosszindulatú kiadásaikat publikálva:
- flat-cache 6.1.24 (149,8 millió letöltés/hét);
- file-entry-cache 11.1.6 (147,5 millió);
- cacheable-request 13.0.20 (33,9 millió);
- @cacheable/utils 2.5.1 (8,7 millió);
- cacheable 2.5.1 (7,8 millió);
- @cacheable/memory 2.2.1 (7,1 millió);
- cache-manager 7.2.10 (4,2 millió);
- @cacheable/node-cache 3.1.2 (1,5 millió).
Forrás: linux.org.ru
