Жаздырылган NPM репозиторийиндеги пакеттерге ири чабуул жаңы өзүн-өзү көбөйтүүчү ChainDrop куртун колдонуу менен жасалган, ал көз карандылыктарга зыяндуу программаны киргизет. Чабуулдун натыйжасында 444 пакет үчүн 2212 зыяндуу чыгарылыш болгон. Бузулган пакеттердин эң популярдуусу — keyv, flat-cache жана file-entry-cache — жумасына тиешелүүлүгүнө жараша 154, 149.9 жана 147.6 миллион жолу жүктөлүп алынган.
Курттун жүктөгүчү setup.mjs жана Math_Symbol.js файлдарында жайгашкан, алар preinstall иштетүүчүсү ("preinstall": "node setup.mjs") аркылуу ишке киргизилген, ал жабыркаган пакетти орнотууда чакырылган. Бул скрипттер мыйзамдуу Bun иштөө убактысын жүктөп алып, 710 КБ өлчөмүндөгү курт кодун бурмалап салышкан. Активдештирилгенден кийин, курт системада жана чөйрө өзгөрмөлөрүндө NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s жана башка кызматтарга (~/.npmrc сыяктуу 140тан ашык файл жолдору талданган) токендерди издеген, ошондой эле эс тутумду талдаган (/proc/ аркылуу). /mem) GitHub Actions чөйрөсүнүн токендер жана грамоталары үчүн.
Эгерде NPM каталогуна туташуу үчүн токен аныкталса, курт учурдагы чөйрөдө иштелип чыгып жаткан пакеттер үчүн жаңы зыяндуу релиздерди автоматтык түрдө жарыялап, көз карандылык дарагын жуктурган. Мурда аныкталган курттан айырмаланып, Шай-Хулуд 2.0 ChainDrop Ethereum блокчейни аркылуу башкаруу буйруктарын алуу үчүн EtherHiding ыкмасын ишке ашырган, чабуулчунун серверине берилген купуя маалыматтарды жашыруу үчүн шифрлөөнү колдонгон жана системада анын бар экендигин камсыз кылуу үчүн Claude Code, VS Code жана GitHub Copilot конфигурация файлдарына инъекцияларды камсыз кылган.
Чабуул пакет үчүн GitHub Actions негизиндеги чыгаруу процессинин бузулушу менен башталган. keyv, ал жумасына 154 миллион жолу жүктөлүп алынат жана 1703 пакетте көз карандылык катары колдонулат. Чабуулчулар зыяндуу код киргизилген жаңы 6.0.0 версиясын түзүп, аны "Ишенимдүү басмачылар» жана туура SLSA сертификациясыЖарыялангандан кийин, курт көптөгөн keyv-көз каранды пакеттерди жуктуруп, андан кийин кыйыр көз карандылыктарды жуктура баштаган.
Курттан жабыркаган жана алар үчүн зыяндуу версияларды жарыялаган эң популярдуу пакеттердин арасында:
- жалпак кэш 6.1.24 (жумасына 149.8 миллион жүктөө);
- файл-кирүү-кэши 11.1.6 (147.5 миллион);
- cacheable-request 13.0.20 (33.9 миллион);
- @cacheable/utils 2.5.1 (8.7 миллион);
- кэштелүүчү 2.5.1 (7.8 миллион);
- @cacheable/эс тутум 2.2.1 (7.1 миллион);
- кэш-менеджери 7.2.10 (4.2 миллион);
- @cacheable/node-cache 3.1.2 (1.5 миллион).
Source: linux.org.ru
