録音済み NPMリポジトリ内のパッケージに対する大規模な攻撃が、依存関係にマルウェアを注入する新たな自己増殖型ワーム「ChainDrop」を用いて実行された。この攻撃により、444個のパッケージに対して2212件の悪意のあるリリースが行われた。侵害されたパッケージの中で最も人気が高かったのは、keyv、flat-cache、file-entry-cacheで、それぞれ週あたり1億5400万回、1億4990万回、1億4760万回ダウンロードされた。
ワームのローダーは setup.mjs と Math_Symbol.js ファイルにあり、これらは影響を受けるパッケージのインストール時に呼び出される preinstall ハンドラー ("preinstall": "node setup.mjs") を使用して起動されました。これらのスクリプトは、正規の Bun ランタイムと難読化されたワーム コード (サイズ 710 KB) をダウンロードしました。起動後、ワームはシステムと環境変数を検索して、NPM、PyPI、CircleCI、AWS、GCP、Docker、Azure、HashiCorp、KubernetesK8s、およびその他のサービス (~/.npmrc など 140 を超えるファイル パスが分析されました) へのトークンを探し、メモリ (/proc/ 経由) も分析しました。トークンと認証情報のための GitHub Actions 環境の /mem)。
NPM ディレクトリに接続するためのトークンが検出されると、ワームは現在の環境で開発中のパッケージの新しい悪意のあるリリースを自動的に公開し、依存関係ツリーを感染させます。以前に検出されたワームとは異なり、 シャイ・フルード 2.0 ChainDropは、公開されているイーサリアムブロックチェーンを介して制御コマンドを受信するEtherHiding技術を実装し、攻撃者のサーバーに送信される機密データを暗号化によって隠蔽し、Claude Code、VS Code、GitHub Copilotの設定ファイルへのインジェクションを提供することで、システム内での自身の存在を安全に確保しました。
攻撃は、パッケージのGitHub Actionsに基づくリリースプロセスの侵害から始まった。 キーvこれは週に 1億5400 万回ダウンロードされ、1703 のパッケージで依存関係として使用されています。攻撃者は、悪意のあるコードを挿入した新しいバージョン 6.0.0 を作成し、「信頼できる発行元» そして正しい SLSA認定公開後、このワームは多くのkeyv依存パッケージに感染し、その後間接的な依存関係にも感染し始めた。
このワームによって悪意のあるリリースが公開された、最も人気のあるパッケージの中には、以下のものが含まれる。
- flat-cache 6.1.24（週あたり1億4980万ダウンロード）
- ファイルエントリキャッシュ 11.1.6 (1億4750万)
- cacheable-request 13.0.20 (33.9万件)
- @cacheable/utils 2.5.1 (8.7万)
- キャッシュ可能 2.5.1 (7.8万)
- @cacheable/memory 2.2.1 (7.1万)
- cache-manager 7.2.10 (4.2万)
- @cacheable/node-cache 3.1.2 (1.5万)
出所： linux.org.ru
