{"id":170684,"date":"2026-05-15T00:24:32","date_gmt":"2026-05-14T22:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv"},"modified":"2026-05-15T00:24:32","modified_gmt":"2026-05-14T22:24:32","slug":"v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","title":{"rendered":"In 42 pacchetti NPM, TanStack integra un worm auto-replicante","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A seguito della compromissione del processo di creazione delle release basato su GitHub Actions nel progetto TanStack, l'attaccante \u00e8 riuscito a pubblicare 84 versioni malevole nel repository NPM, coinvolgendo 42 pacchetti NPM della stack TanStack. Alcuni di questi pacchetti compromessi hanno registrato oltre 10 milioni di download a settimana. <\/p>\n
L'accesso alla pubblicazione delle versioni \u00e8 stato ottenuto a causa di una configurazione errata di pull_request_target \"Pwn Request\" in GitHub Actions (l'indicazione della maschera nelle impostazioni ha portato all'attivazione di pull_request_target per le richieste di pull in fork esterni), avvelenamento della cache di GitHub Actions tramite fork e la possibilit\u00e0 di estrarre il token OIDC dalla memoria del processo runner in esecuzione (Runner.Worker) attraverso la lettura del contenuto \/proc\/\/mem. <\/p>\n
I pacchetti NPM con modifiche malevole sono stati pubblicati l'11 maggio tra le 22:20 e le 22:26 (MSK), notati dopo 20 minuti e bloccati dopo un'ora e mezza. Per ciascuno dei pacchetti NPM compromessi sono state rilasciate due versioni malevole, integrate con codice per attivare il worm mini-shai-hulud, che cercava token e credenziali nell'ambiente corrente. In caso di rilevamento di un token di connessione al catalogo NPM, il worm pubblicava automaticamente nuove release malevole per i pacchetti sviluppati nell'ambiente corrente, compromettendo l'albero delle dipendenze. In questo modo sono stati compromessi oltre 400 pacchetti NPM che utilizzano pacchetti TanStack come dipendenze. <\/p>\n
Il worm era contenuto nel file router_init.js e si attivava quando il pacchetto compromesso veniva installato manualmente dal sviluppatore o automaticamente nell'ambiente di integrazione continua tramite i comandi \"npm install\", \"pnpm install\" o \"yarn install\". Dopo l'attivazione, il worm cercava nel sistema token NPM (~\/.npmrc), AWS, GCP, Azure, HashiCorp e KubernetesK8s, cos\u00ec come chiavi SSH riservate. I dati trovati venivano inviati agli aggressori attraverso il messaggero P2P decentralizzato getsession.org. <\/p>\n
Il worm era programmato per eseguire azioni distruttive in caso di revoca del token NPM intercettato: nel sistema veniva impostato un avvio periodico di uno script ~\/.local\/bin\/gh-token-monitor.sh, che ogni 60 secondi controllava l'attivit\u00e0 del token tramite una chiamata a api.github.com\/user e in caso di revoca del token eseguiva il comando \"rm -rf ~\/\". \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"