Felt\u00e1rt\u00e1k a m\u00e1sodik t\u00e1mad\u00e1st az NPM t\u00e1rol\u00f3j\u00e1ban tal\u00e1lhat\u00f3 csomagok ellen, amelyet a Shai-Hulud \u00f6nj\u00e1r\u00f3 f\u00e9reg m\u00f3dos\u00edt\u00e1sa hajtott v\u00e9gre, amely rosszindulat\u00fa programokat csemp\u00e9szett a f\u00fcgg\u0151s\u00e9gekbe. A t\u00e1mad\u00e1s eredm\u00e9nyek\u00e9nt 605 csomag rosszindulat\u00fa kiad\u00e1sai jelentek meg, \u00f6sszesen t\u00f6bb mint 100 milli\u00f3 let\u00f6lt\u00e9ssel. <\/p>\n
A t\u00e1mad\u00f3k phishing r\u00e9v\u00e9n elkapt\u00e1k egy n\u00e9pszer\u0171 csomag karbantart\u00f3j\u00e1nak fi\u00f3kadatait, amelyet sok csomag f\u00fcgg\u0151s\u00e9gek\u00e9nt haszn\u00e1lnak. A megszerzett fi\u00f3k seg\u00edts\u00e9g\u00e9vel a t\u00e1mad\u00f3k k\u00f6zz\u00e9tettek egy csomag kiad\u00e1s\u00e1t, amely tartalmazta a f\u00e9reg aktiv\u00e1l\u00e1s\u00e1hoz sz\u00fcks\u00e9ges k\u00f3dot, ha a fert\u0151z\u00f6tt csomagot f\u00fcgg\u0151s\u00e9gk\u00e9nt telep\u00edtik. Az elind\u00edtott f\u00e9reg az aktu\u00e1lis k\u00f6rnyezetben keresi a hiteles\u00edt\u0151 adatokat, let\u00f6ltve \u00e9s futtatva a TruffleHog alkalmaz\u00e1st. <\/p>\n
Amennyiben NPM-katal\u00f3gushoz val\u00f3 kapcsol\u00f3d\u00e1si tokent \u00e9szlel a f\u00e9reg, automatikusan k\u00f6zz\u00e9teszi az aktu\u00e1lis k\u00f6rnyezetben fejlesztett csomagok \u00faj rosszindulat\u00fa kiad\u00e1sait. Ezzel a m\u00f3dszerrel az eg\u00e9sz f\u00fcgg\u0151s\u00e9gi f\u00e1ba l\u00e1ncba kapcsoltan terjed a fert\u0151z\u00e9s. Az NPM-token mellett a f\u00e9reg elmenti a GitHub \u00e9s az AWS, Azure, valamint GCP (Google Cloud Platform) felh\u0151szolg\u00e1ltat\u00e1sokhoz val\u00f3 hozz\u00e1f\u00e9r\u00e9si kulcsokat, valamint k\u00f6rnyezeti v\u00e1ltoz\u00f3kat \u00e9s egy\u00e9b bizalmas adatokat, amelyeket a TruffleHog szkenner k\u00e9pes \u00e9szlelni. <\/p>\n
A rendszerben tal\u00e1lt titkos adatok a GitHub-on ker\u00fclnek k\u00f6zz\u00e9t\u00e9telre, v\u00e9letlenszer\u0171 nevekkel ell\u00e1tott t\u00e1rol\u00f3k l\u00e9trehoz\u00e1sa r\u00e9v\u00e9n (p\u00e9ld\u00e1ul «qzx15djl71alh6p80h»), valamint a «Sha1-Hulud: A M\u00e1sodik Elj\u00f6vetel» kifejez\u00e9ssel a le\u00edr\u00e1sban, \u00e9s k\u00f3dolt form\u00e1ban jelennek meg a GitHub Actions napl\u00f3iban. A l\u00e9trehozott t\u00e1rol\u00f3ban egy JSON form\u00e1tum\u00fa f\u00e1jl (p\u00e9ld\u00e1ul jsonactionsSecrets.json vagy contents.json) tal\u00e1lhat\u00f3, amely tartalmaz egy base64 m\u00f3dszerrel k\u00f3dolt rendszergy\u0171jt\u0151, k\u00f6rnyezeti v\u00e1ltoz\u00f3kat \u00e9s elfogott adatokat. A GitHub alap\u00fa folyamatos integr\u00e1ci\u00f3s rendszerekb\u0151l t\u00f6rt\u00e9n\u0151 inform\u00e1ci\u00f3k k\u00fcls\u0151 \u00e1tad\u00e1s\u00e1ra a f\u00e9reg l\u00e9trehoz egy GitHub Actions kezel\u0151t «.github\/workflows\/formatter_123456789.yml» n\u00e9vvel, \u00e9s be\u00e1ll\u00edt egy futtat\u00f3t SHA1HULUD n\u00e9ven. <\/p>\n
A hasonl\u00f3 szeptemberi t\u00e1mad\u00e1sokt\u00f3l elt\u00e9r\u0151 m\u00f3dszereket alkalmaznak a rosszindulat\u00fa k\u00f3d becs\u00fasztat\u00e1s\u00e1ra a csomagokba. A f\u00e9reg \u00e1ltal l\u00e9trehozott rosszindulat\u00fa kiad\u00e1sokban a Bun JavaScript platform t\u00e1mogat\u00e1s\u00e1t hirdetik. A package.json f\u00e1jl «preinstall» szekci\u00f3j\u00e1ba, amely a telep\u00edt\u00e9s megkezd\u00e9se el\u0151tt fut\u00f3 szkripteket hat\u00e1rozza meg, hozz\u00e1adj\u00e1k a «node setup_bun.js» parancsot.
<\/center> <\/p>\n
A «setup_bun.js» f\u00e1jlban k\u00f3d tal\u00e1lhat\u00f3, amely egy obfuszk\u00e1lt «bun_environment.js» szkript v\u00e9grehajt\u00e1s\u00e1ra szolg\u00e1l, amely a f\u00e9reg k\u00f3dj\u00e1t tartalmazza. A f\u00e9reg a tov\u00e1bbi terjed\u00e9s\u00e9hez megtal\u00e1lja a csomagok k\u00f3dj\u00e1t, m\u00f3dos\u00edtja a package.json f\u00e1jlt (n\u00f6veli a verzi\u00f3sz\u00e1mot \u00e9s bevonja a setup_bun.js megh\u00edv\u00e1s\u00e1t), hozz\u00e1adja a setup_bun.js \u00e9s bun_environment.js f\u00e1jlokat, \u00fajracsomagolja a csomagot, \u00e9s v\u00e9grehajtja az «npm publish» parancsot az \u00faj kiad\u00e1s k\u00f6zz\u00e9t\u00e9tel\u00e9re. <\/p>\n
A kompromitt\u00e1lt n\u00e9pszer\u0171 csomagok k\u00f6z\u00e9 tartozik: @zapier\/zapier-sdk (2,8 milli\u00f3 let\u00f6lt\u00e9s hetente), @posthog\/core (2,8 milli\u00f3), posthog-node (1,5 milli\u00f3), @asyncapi\/specs (1,4 milli\u00f3), @postman\/tunnel-agent (1,2 milli\u00f3). Felt\u00e9telezhet\u0151, hogy a t\u00e1mad\u00e1s az @asyncapi\/specs csomag k\u00eds\u00e9r\u0151j\u00e9nek kompromitt\u00e1l\u00e1s\u00e1val kezd\u0151d\u00f6tt. \n Forr\u00e1s: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"A](\"\/wp-content\/uploads\/2025\/11\/9b6fe1ba9d28fa5432b53d051ad21724.png\")
<\/center> <\/p>\n