{"id":170684,"date":"2026-05-15T00:24:32","date_gmt":"2026-05-14T22:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv"},"modified":"2026-05-15T00:24:32","modified_gmt":"2026-05-14T22:24:32","slug":"v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","title":{"rendered":"In 42 pacchetti NPM, TanStack ha integrato un verme auto-replicante","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A seguito della compromissione del processo di creazione dei rilasci basato su GitHub Actions nel progetto TanStack, gli attaccanti sono riusciti a pubblicare nel repository NPM 84 versioni malevole, coprendo 42 pacchetti NPM della stack TanStack. Alcuni dei pacchetti compromessi avevano pi\u00f9 di 10 milioni di download a settimana. <\/p>\n
L'accesso alla pubblicazione dei rilasci \u00e8 stato ottenuto a causa di un'impostazione errata di pull_request_target «Pwn Request» in GitHub Actions (l'indicazione della maschera nelle impostazioni ha portato all'attivazione di pull_request_target per le pull request in fork esterni), l'avvelenamento della cache di GitHub Actions tramite fork e la possibilit\u00e0 di estrarre il token OIDC dalla memoria del processo runner avviato (Runner.Worker) leggendo il contenuto di \/proc\/\/mem. <\/p>\n
I pacchetti NPM con modifiche dannose sono stati pubblicati l'11 maggio tra le 22:20 e le 22:26 (MSK), notati dopo 20 minuti e bloccati dopo un'ora e mezza. Per ciascuno dei pacchetti NPM compromessi sono state rilasciate due versioni dannose, nelle quali \u00e8 stato integrato un codice per attivare il worm mini-shai-hulud, che cercava token e credenziali nell'ambiente attuale. In caso di rilevamento di un token di accesso al repository NPM, il worm pubblicava automaticamente nuove release dannose per i pacchetti in fase di sviluppo nell'ambiente attuale, compromettendo l'albero delle dipendenze. In questo modo, oltre 400 pacchetti NPM che utilizzano i pacchetti TanStack tra le dipendenze sono stati compromessi. <\/p>\n
Il worm era ospitato nel file router_init.js e si attivava quando il pacchetto compromesso veniva installato manualmente dallo sviluppatore o automaticamente in un ambiente di integrazione continua tramite i comandi «npm install», «pnpm install» o «yarn install». Dopo l'attivazione, il worm cercava nel sistema i token di NPM (~\/.npmrc), AWS, GCP, Azure, HashiCorp e KubernetesK8s, oltre alle chiavi SSH. I dati trovati venivano inviati agli aggressori tramite il messenger P2P decentralizzato getsession.org. <\/p>\n
Il worm era progettato per eseguire azioni distruttive nel caso in cui il token NPM intercettato venisse revocato \u2014 nel sistema veniva configurata l'esecuzione periodica di uno script ~\/local\/bin\/gh-token-monitor.sh, che ogni 60 secondi controllava l'attivit\u00e0 del token tramite una chiamata a api.github.com\/user e in caso di revoca del token eseguiva il comando «rm -rf ~». \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"